Mynediad partner i HSM dros VPN: diffiniwch y gweithrediadau allwedd

Rhaid i rywun yn y partner lofnodi dogfen ag un allwedd benodol, ac mae'r cais yn cyrraedd wedi'i fformiwleiddio fel rhwydwaith: mae angen iddynt gyrraedd yr HSM. Triniwch y frawddeg honno fel symptom o gontract gwasanaeth anniffiniedig yn hytrach na phroblem llwybro, oherwydd nid yw twnnel sy'n cyrraedd yr offeryn yn rhoi dim ynddo'i hun. Tu ôl i'r cais mae tair giât: cyrhaeddiad, hunaniaeth HSM a pholisi allwedd, ac mae pob un yn cael ei gweinyddu mewn man gwahanol gan dîm gwahanol. Ysgrifennwch nhw fesul un, neu byddwch yn gorffen trwy roi llwybr oherwydd bod y sgwrs am y dystysgrif yn anoddach.

Cadwch yr achos concret mewn golwg: mae'r partner yn cyflwyno dogfen a gymeradwywyd i'w llofnodi ag un allwedd a enwir, a dim arall. Mae popeth isod yn dilyn o'r un frawddeg honno.

Mae cyrhaeddiad, hunaniaeth a pholisi allwedd yn dair giât

Mae'r canolbwyntydd VPN yn penderfynu pwy all agor twnnel a pha gyfeiriadau y caiff eu cyffwrdd. Mae'r HSM yn penderfynu drosto'i hun pa gofnod defnyddiwr a gyflwynir iddo all fewngofnodi. Yna mae'r polisi allwedd yn penderfynu beth all y cofnod hwnnw ei wneud ag un allwedd benodol. Mae pasio'r giât gyntaf yn gadael y ddwy arall yn union fel yr oeddent, a dyna pam y mae ysgwyd llaw llwyddiannus yn profi cyn lleied a dyna pam y gall partner gyrraedd yr offeryn ac eto fethu â phob gweithrediad.

Mapwch bob giât i berchnogion cyn ysgrifennu gofynion. Pan nad oes perchennog ar yr ail, y canlyniad arferol yw bod hunaniaeth weinyddwr HSM eang yn cael ei rhoi oherwydd mai dyna'r unig dystysgrif sy'n gweithio.

Y giât gyntaf: y llwybr rhwydwaith a roddir i'r partner

Enwch y cleient neu'r gwasanaeth a gymeradwywyd, y gyrchfan y mae ei hangen, a'r protocol a'r porth y mae'r gwasanaeth hwnnw'n gwrando arnynt. Yna cyfyngwch y mynediad ar ochr VPN i'r pâr hwnnw yn y ddau gyfeiriad, gan gynnwys y llwybr dychwelyd, fel bod y polisi yn frawddeg y gallwch ei darllen i'r partner. Dylai gweinyddiaeth y giât, rhyngwynebau rheoli HSM a systemau mewnol di-gysylltiad fod y tu allan i fynediad arferol y partner, nid dim ond y tu allan i'r llwybr diofyn.

Mae segment pwrpasol yn gwneud y croesfeydd hynny'n weladwy, ond nid yw enw segment yn gorfodi dim. Rhaid i'r traffig basio drwy'r rheolaeth y credwch ei fod yn pasio drwyddi. Nid yw derbyn cysylltiad gan y partner ychwaith yn ddatganiad bod pob peiriant gan y partner yn ddibynadwy.

Yr ail giât: beth sy'n wirioneddol yn dilysu i'r HSM

Mae hunaniaeth VPN a hunaniaeth HSM yn wrthrychau ar wahân oni bai bod integreiddiad â chymorth yn eu huno'n fwriadol. Gyda chleient PKCS#11, mae'r cymhwysiad yn mewngofnodi i slot ag ardystiad wedi'i storio yn rhywle ar westeiwr y partner, a'r mewngofnodi hwnnw yw'r hyn y mae'r HSM yn ei asesu.

Mae AWS CloudHSM yn gyfeiriad defnyddiol oherwydd bod ei ddogfennaeth yn cadw'r ddau ar wahân: mae defnyddwyr HSM yn wahanol i ddefnyddwyr IAM, ac mae math y defnyddiwr yn llywodraethu beth all y cyfrif ei wneud. Mae swyddog crypto yn rheoli defnyddwyr ac allweddi ond nid ef yw'r hunaniaeth sy'n cyflawni gweithrediadau crypto, tra gall defnyddiwr crypto ddefnyddio allweddi heb allu eu rheoli. Y rhaniad hwnnw yw'r siâp rydych ei eisiau hyd yn oed ar offeryn gwerthwr arall, lle bydd enwau'r rolau'n wahanol.

Beth bynnag yw'r hunaniaeth a roddwch, rhaid iddi fod yn symudadwy ac yn briodoladwy ar y manylder y bydd ei angen arnoch yn ddiweddarach. Mae un ardystiad gweithredol a rennir ar draws sawl partner yn gwneud cyfyngu ac atebolrwydd yn anoddach yn union yn y digwyddiad lle mae'r ddau bwysicaf.

Y drydedd giât: pa allwedd, a pha weithrediad

Mae llofnodi, dadgryptio, cynhyrchu allweddi, lapio allweddi a gweinyddu defnyddwyr yn ganiatadau ar wahân a rhaid eu rhestru ar wahân. Yn nhermau PKCS#11, mae priodweddau fel CKA_SENSITIVE a CKA_EXTRACTABLE yn disgrifio a all deunydd allwedd adael y modiwl ar ffurf y gellir ei defnyddio, ac maent yn cael eu gosod fesul allwedd yn hytrach nag fesul offeryn. Darllenwch y polisi gwirioneddol ar yr allwedd yn hytrach na chasglu nad oes modd ei allforio o'r gair caledwedd neu o bresenoldeb twnnel.

Yna dewch o hyd i'r cymeradwyaeth fusnes. Os mai dim ond dogfennau a gymeradwywyd y gellir eu llofnodi, pa gydran sy'n sefydlu'r gymeradwyaeth honno cyn i'r cais gyrraedd yr HSM? Nid oes gan ryngwyneb crypto sy'n derbyn cais awdurdodedig unrhyw syniad a adolygwyd y ddogfen ai peidio, felly mae'r gwiriad hwnnw'n perthyn i'r gwasanaeth o'i flaen.

Gall cleient a ganiateir sydd wedi'i gyfaddawdu hefyd gamddefnyddio'r gweithrediadau y mae ei ardystiad yn eu hawdurdodi'n gyfreithlon heb byth echdynnu allwedd breifat. Felly mae diogelu deunydd allwedd sydd wedi'i storio a rheoli defnydd allweddi yn ddau amod derbyn, nid un.

Mae gwrthodiadau yn rhan o'r prawf derbyn

Derbyniwch y cais llofnodi a ganiateir, a derbyniwch y gwrthodiadau hefyd: hunaniaeth heb awdurdod, allwedd ddi-gysylltiad, a gweithrediad rheoli o lwybr y partner. Cofnodwch y galwr, y gweithrediad, dynodwr yr allwedd, yr amser a'r canlyniad, a chadwch ddeunydd allwedd breifat, ardystiadau a chynnwys dogfennau allan o logiau diagnostig cyffredinol.

Penodwch berchnogion ar gyfer tynnu'r partner allan, ar gyfer cyfaddawd a amheuir ar ochr y partner, ac ar gyfer newidiadau polisi ac adferiad. Nid yw newid llwybr yn adfer ymddiriedaeth mewn westeiwr a allai fod eisoes wedi'i gyfaddawdu, felly rhaid i'r dirymu gyrraedd hunaniaeth HSM hefyd.

Mae ysgwyd llaw VPN a gwblhawyd yn perthyn i'r cofnod hwnnw. Ni all ddisodli un canlyniad sy'n benodol i HSM.