Přístup partnera k HSM přes VPN: definujte klíčové operace

Někdo u partnera musí podepsat dokument jedním určeným klíčem a požadavek přichází formulovaný jako síťový: potřebují dosáhnout na HSM. Berte tu větu jako symptom nedefinované servisní smlouvy, nikoli jako problém směrování, protože tunel, který dosáhne na zařízení, sám o sobě nic neuděluje. Za požadavkem stojí tři brány: dosažitelnost, identita HSM a klíčová politika, a každá se spravuje na jiném místě jiným týmem. Zapište je jednu po druhé, jinak skončíte tím, že přidělíte trasu, protože rozhovor o certifikátu byl těžší.

Držte konkrétní případ na očích: partner předkládá schválený dokument k podpisu jedním jmenovaným klíčem a nic jiného. Vše níže plyne z této jediné věty.

Dosažitelnost, identita a klíčová politika jsou tři brány

VPN koncentrátor rozhoduje, kdo smí otevřít tunel a na které adresy smí dosáhnout. HSM sám rozhoduje, který uživatelský záznam, který mu je předložen, se smí přihlásit. Klíčová politika pak rozhoduje, co tento záznam smí dělat s jedním konkrétním klíčem. Průchod první branou ponechá ty dvě zbývající přesně tak, jak byly, a proto úspěšný handshake dokazuje tak málo a proto partner může dosáhnout na zařízení a přesto selhat u každé operace.

Přiřaďte každou bránu vlastníkovi dřív, než začnete psát požadavky. Když druhou nikdo nevlastní, obvyklým výsledkem je, že se vydá široká identita správce HSM, protože je to jediný údaj, který funguje.

První brána: síťová cesta, kterou partner dostane

Pojmenujte schváleného klienta nebo službu, cílové místo, které potřebuje, a protokol a port, na kterých ta služba naslouchá. Potom omezte přístup na straně VPN na tuto dvojici v obou směrech, včetně zpáteční cesty, aby politika byla věta, kterou můžete partnerovi přečíst. Správa brány, rozhraní pro správu HSM a nesouvisející interní systémy mají zůstat mimo běžný přístup partnera, ne jen mimo výchozí trasu.

Vyhrazený segment ty přechody zviditelní, ale název segmentu nic nevynucuje. Provoz musí projít tou kontrolou, o které si myslíte, že jí prochází. Přijetí spojení od partnera také není prohlášení, že každý stroj u partnera je důvěryhodný.

Druhá brána: co se vlastně autentizuje vůči HSM

Identita VPN a identita HSM jsou oddělené objekty, pokud je podporovaná integrace záměrně nespojí. U klienta PKCS#11 aplikace provádí přihlášení do slotu s údajem uloženým někde na hostiteli partnera, a právě toto přihlášení HSM vyhodnocuje.

AWS CloudHSM je užitečný odkaz, protože jeho dokumentace drží obojí oddělené: uživatelé HSM se liší od uživatelů IAM a typ uživatele určuje, co účet smí dělat. Kryptografický důstojník spravuje uživatele a klíče, ale není identitou, která provádí kryptografické operace, zatímco kryptografický uživatel může klíče používat, aniž by je mohl spravovat. Toto rozdělení je tvar, který chcete i na zařízení jiného dodavatele, kde se názvy rolí budou lišit.

Ať vydáte jakoukoli identitu, musí být odstranitelná a přiřaditelná v granularitě, kterou budete později potřebovat. Jeden sdílený provozní údaj napříč několika partnery ztěžuje omezení i odpovědnost právě v incidentu, kde na obou záleží nejvíc.

Třetí brána: který klíč a která operace

Podepisování, dešifrování, generování klíčů, obalování klíčů a správa uživatelů jsou samostatná oprávnění a musí být uvedena samostatně. V pojmech PKCS#11 atributy jako CKA_SENSITIVE a CKA_EXTRACTABLE popisují, zda klíčový materiál může opustit modul v použitelné podobě, a nastavují se pro každý klíč, ne pro zařízení. Čtěte skutečnou politiku na klíči, místo abyste neexportovatelnost odvozovali ze slova hardware nebo z přítomnosti tunelu.

Pak najděte obchodní schválení. Pokud lze podepisovat jen schválené dokumenty, která komponenta toto schválení stanoví, než požadavek dorazí do HSM? Kryptografické rozhraní, které přijímá autorizovaný požadavek, netuší, zda byl dokument zkontrolován, takže tato kontrola patří službě před ním.

Povolený klient, který je kompromitován, může také zneužít operace, které jeho údaj legitimně opravňuje, aniž by kdykoli extrahoval soukromý klíč. Ochrana uloženého klíčového materiálu a kontrola použití klíčů jsou tedy dvě podmínky přijetí, ne jedna.

Odmítnutí jsou součástí akceptačního testu

Přijměte povolený požadavek na podpis a přijměte i odmítnutí: neautorizovanou identitu, nesouvisející klíč a operaci správy z cesty partnera. Zaznamenejte volajícího, operaci, identifikátor klíče, čas a výsledek a soukromý klíčový materiál, údaje a obsah dokumentů držte mimo obecné diagnostické záznamy.

Určete vlastníka pro odchod partnera, pro podezření na kompromitaci na straně partnera i pro změny politiky a obnovu. Změna trasy neobnoví důvěru v hostitele, který už může být kompromitován, takže odvolání musí dosáhnout i identity HSM.

Dokončený handshake VPN patří do toho záznamu. Nemůže nahradit jediný výsledek specifický pro HSM.