Pristup partnera HSM-u preko VPN-a: definirajte ključne operacije

Neko kod partnera mora potpisati dokument jednim određenim ključem, a zahtjev dolazi u mrežnoj formulaciji: moraju doći do HSM-a. Tretirajte tu rečenicu kao simptom nedefinisanog ugovora o usluzi, a ne kao problem rutiranja, jer tunel koji dosegne uređaj sam po sebi ne daje ništa. Iza zahtjeva stoje tri kapije: dostupnost, HSM identitet i ključna politika, a svaka se administrira na drugom mjestu od druge ekipe. Zapišite ih jednu po jednu, inače ćete na kraju dodijeliti rutu jer je razgovor o certifikatu bio teži.

Držite konkretan slučaj na oku: partner predaje odobreni dokument na potpis jednim imenovanim ključem i ništa više. Sve ispod slijedi iz te jedne rečenice.

Dostupnost, identitet i ključna politika tri su kapije

VPN koncentrator odlučuje ko smije otvoriti tunel i koje adrese smije dodirnuti. HSM sam odlučuje koji korisnički zapis koji mu se predstavi smije se prijaviti. Ključna politika zatim odlučuje šta taj korisnički zapis smije raditi s jednim konkretnim ključem. Prolaz kroz prvu kapiju ostavlja druge dvije točno takve kakve su bile, zato uspješno rukovanje tako malo dokazuje i zato partner može doći do uređaja i ipak pasti na svakoj operaciji.

Povežite svaku kapiju s vlasnikom prije pisanja zahtjeva. Kada drugu kapiju nitko ne posjeduje, uobičajen ishod je da se izda široki administratorski identitet HSM-a jer je to jedini akreditiv koji radi.

Prva kapija: mrežni put koji partner dobija

Imenujte odobrenog klijenta ili uslugu, odredište koje mu treba te protokol i port na kojima ta usluga sluša. Zatim ograničite pristup s VPN strane na taj par u oba smjera, uključujući povratni put, tako da politika bude rečenica koju možete pročitati partneru. Administracija pristupnika, upravljačka sučelja HSM-a i nepovezani unutrašnji sistemi trebaju stajati izvan uobičajenog pristupa partnera, a ne samo izvan zadanog puta.

Namjenski segment čini te prijelaze vidljivima, ali naziv segmenta ništa ne provodi. Promet mora proći kroz kontrolu za koju mislite da kroz nju prolazi. Primanje veze od partnera također nije izjava da je svaki stroj kod partnera pouzdan.

Druga kapija: šta se zapravo autentificira na HSM-u

VPN identitet i HSM identitet odvojeni su objekti osim ako ih podržana integracija namjerno ne spoji. Uz PKCS#11 klijenta aplikacija izvodi prijavu na slot s akreditivom pohranjenim negdje na partnerovom hostu, i upravo tu prijavu HSM procjenjuje.

AWS CloudHSM korisna je referenca jer njegova dokumentacija drži dvoje odvojeno: korisnici HSM-a razlikuju se od korisnika IAM-a, a tip korisnika određuje šta račun smije raditi. Kripto službenik upravlja korisnicima i ključevima, ali nije identitet koji izvodi kriptografske operacije, dok kripto korisnik može koristiti ključeve bez mogućnosti upravljanja njima. Ta podjela je oblik koji želite i na uređaju drugog dobavljača, gdje će se nazivi uloga razlikovati.

Kakav god identitet izdate, mora biti uklonjiv i pripisiv u granularnosti koja će vam kasnije trebati. Jedan zajednički operativni akreditiv preko više partnera otežava ograničavanje i odgovornost upravo u incidentu u kojem su oboje najvažniji.

Treća kapija: koji ključ i koja operacija

Potpisivanje, dešifriranje, generisanje ključeva, omotavanje ključeva i administracija korisnika odvojene su dozvole i moraju se navesti odvojeno. U PKCS#11 terminima atributi poput CKA_SENSITIVE i CKA_EXTRACTABLE opisuju može li ključni materijal napustiti modul u upotrebljivom obliku, i postavljaju se po ključu, a ne po uređaju. Čitajte stvarnu politiku na ključu umjesto da neizvozivost zaključujete iz riječi hardver ili iz prisustva tunela.

Zatim pronađite poslovno odobrenje. Ako se smiju potpisivati samo odobreni dokumenti, koja komponenta uspostavlja to odobrenje prije nego zahtjev stigne do HSM-a? Kriptografsko sučelje koje prihvata ovlašteni zahtjev nema pojma je li dokument pregledan, pa ta provjera pripada usluzi ispred njega.

Dopušteni klijent koji je kompromitiran također može zloupotrijebiti operacije koje njegov akreditiv zakonito ovlašćuje, a da nikada ne izvuče privatni ključ. Zaštita pohranjenog ključnog materijala i kontrola upotrebe ključeva stoga su dva uvjeta prihvatanja, a ne jedan.

Odbijanja su dio testa prihvatanja

Prihvatite dopušteni zahtjev za potpisivanje, i prihvatite i odbijanja: neovlašteni identitet, nepovezani ključ i upravljačku operaciju s partnerovog puta. Zabilježite pozivatelja, operaciju, identifikator ključa, vrijeme i ishod, a privatni ključni materijal, akreditive i sadržaj dokumenata držite izvan općih dijagnostičkih zapisa.

Odredite vlasnika za uklanjanje partnera, za sumnju na kompromitaciju na partnerovoj strani te za promjene politike i oporavak. Promjena rute ne vraća povjerenje u host koji je možda već kompromitiran, pa opoziv mora doći i do HSM identiteta.

Završeno VPN rukovanje pripada tom zapisu. Ono ne može zamijeniti jedan rezultat specifičan za HSM.