Πρόσβαση συνεργάτη στο HSM μέσω VPN: ορισμός των λειτουργιών κλειδιού

Κάποιος στον συνεργάτη πρέπει να υπογράψει ένα έγγραφο με ένα καθορισμένο κλειδί, και το αίτημα φτάνει διατυπωμένο ως δικτυακό: πρέπει να φτάσουν στο HSM. Αντιμετωπίστε αυτή την πρόταση ως σύμπτωμα ασαφούς σύμβασης υπηρεσίας και όχι ως πρόβλημα δρομολόγησης, γιατί μια σήραγγα που φτάνει στη συσκευή δεν παρέχει από μόνη της τίποτα. Πίσω από το αίτημα βρίσκονται τρεις πύλες: προσβασιμότητα, ταυτότητα HSM και πολιτική κλειδιών, και καθεμία διοικείται σε διαφορετικό σημείο από διαφορετική ομάδα. Γράψτε τες μία προς μία, αλλιώς θα καταλήξετε να παραχωρήσετε μια διαδρομή επειδή η συζήτηση για το πιστοποιητικό ήταν δυσκολότερη.

Κρατήστε τη συγκεκριμένη περίπτωση στο μυαλό: ο συνεργάτης υποβάλλει εγκεκριμένο έγγραφο προς υπογραφή με ένα ονομαστικό κλειδί, και τίποτα άλλο. Όλα τα παρακάτω προκύπτουν από αυτή τη μία πρόταση.

Προσβασιμότητα, ταυτότητα και πολιτική κλειδιών είναι τρεις πύλες

Ο συγκεντρωτής VPN αποφασίζει ποιος μπορεί να ανοίξει σήραγγα και ποιες διευθύνσεις μπορεί να αγγίξει. Το HSM αποφασίζει μόνο του ποια εγγραφή χρήστη που του παρουσιάζεται μπορεί να συνδεθεί. Η πολιτική κλειδιών αποφασίζει έπειτα τι μπορεί να κάνει αυτή η εγγραφή με ένα συγκεκριμένο κλειδί. Το πέρασμα από την πρώτη πύλη αφήνει τις άλλες δύο ακριβώς όπως ήταν, γι' αυτό μια επιτυχής χειραψία αποδεικνύει τόσο λίγα και γι' αυτό ένας συνεργάτης μπορεί να φτάσει στη συσκευή και παρ' όλα αυτά να αποτύχει σε κάθε λειτουργία.

Αντιστοιχίστε κάθε πύλη με έναν υπεύθυνο πριν γράψετε απαιτήσεις. Όταν κανείς δεν κατέχει τη δεύτερη, το συνηθισμένο αποτέλεσμα είναι να δοθεί μια ευρεία ταυτότητα διαχειριστή HSM, επειδή είναι το μόνο διαπιστευτήριο που λειτουργεί.

Πύλη πρώτη: η διαδρομή δικτύου που παίρνει ο συνεργάτης

Ονομάστε τον εγκεκριμένο πελάτη ή υπηρεσία, τον προορισμό που χρειάζεται και το πρωτόκολλο και τη θύρα όπου ακούει αυτή η υπηρεσία. Στη συνέχεια περιορίστε την πρόσβαση από την πλευρά του VPN σε αυτό το ζεύγος και προς τις δύο κατευθύνσεις, συμπεριλαμβανομένης της επιστροφής, ώστε η πολιτική να είναι μια πρόταση που μπορείτε να διαβάσετε στον συνεργάτη. Η διαχείριση της πύλης, οι διεπαφές διαχείρισης του HSM και τα άσχετα εσωτερικά συστήματα πρέπει να βρίσκονται έξω από τη συνήθη πρόσβαση του συνεργάτη, όχι μόνο έξω από την προεπιλεγμένη διαδρομή.

Ένα αποκλειστικό τμήμα κάνει αυτές τις διελεύσεις ορατές, αλλά το όνομα ενός τμήματος δεν επιβάλλει τίποτα. Η κίνηση πρέπει να περνά από τον έλεγχο από τον οποίο νομίζετε ότι περνά. Το να δεχτείτε μια σύνδεση από τον συνεργάτη δεν δηλώνει επίσης ότι κάθε μηχάνημα στον συνεργάτη είναι αξιόπιστο.

Πύλη δεύτερη: τι αυθεντικοποιείται πραγματικά στο HSM

Μια ταυτότητα VPN και μια ταυτότητα HSM είναι ξεχωριστά αντικείμενα εκτός αν μια υποστηριζόμενη ενσωμάτωση τα συνδέει σκόπιμα. Με πελάτη PKCS#11, η εφαρμογή εκτελεί σύνδεση σε μια υποδοχή με διαπιστευτήριο αποθηκευμένο κάπου στον κεντρικό υπολογιστή του συνεργάτη, και αυτή η σύνδεση είναι που αξιολογεί το HSM.

Το AWS CloudHSM είναι μια χρήσιμη αναφορά επειδή η τεκμηρίωσή του κρατά τα δύο χωριστά: οι χρήστες HSM διαφέρουν από τους χρήστες IAM, και ο τύπος χρήστη καθορίζει τι μπορεί να κάνει ο λογαριασμός. Ένας αξιωματικός κρυπτογράφησης διαχειρίζεται χρήστες και κλειδιά αλλά δεν είναι η ταυτότητα που εκτελεί κρυπτογραφικές λειτουργίες, ενώ ένας χρήστης κρυπτογράφησης μπορεί να χρησιμοποιεί κλειδιά χωρίς να μπορεί να τα διαχειριστεί. Αυτός ο διαχωρισμός είναι η μορφή που θέλετε ακόμη και στη συσκευή άλλου προμηθευτή, όπου τα ονόματα ρόλων θα διαφέρουν.

Όποια ταυτότητα κι αν εκδώσετε, πρέπει να αφαιρείται και να αποδίδεται με την κοκκοποίηση που θα χρειαστείτε αργότερα. Ένα κοινό επιχειρησιακό διαπιστευτήριο σε πολλούς συνεργάτες κάνει τον περιορισμό και τη λογοδοσία δυσκολότερα ακριβώς στο περιστατικό όπου και τα δύο μετρούν περισσότερο.

Πύλη τρίτη: ποιο κλειδί και ποια λειτουργία

Η υπογραφή, η αποκρυπτογράφηση, η δημιουργία κλειδιών, η περιτύλιξη κλειδιών και η διαχείριση χρηστών είναι ξεχωριστές άδειες και πρέπει να απαριθμούνται ξεχωριστά. Στους όρους του PKCS#11, γνωρίσματα όπως CKA_SENSITIVE και CKA_EXTRACTABLE περιγράφουν αν το υλικό κλειδιού μπορεί να εγκαταλείψει τη μονάδα σε χρησιμοποιήσιμη μορφή, και ορίζονται ανά κλειδί και όχι ανά συσκευή. Διαβάστε την πραγματική πολιτική στο κλειδί αντί να συνάγετε το μη εξαγώγιμο από τη λέξη υλικό ή από την παρουσία σήραγγας.

Στη συνέχεια βρείτε την επιχειρηματική έγκριση. Αν επιτρέπεται να υπογράφονται μόνο εγκεκριμένα έγγραφα, ποιο στοιχείο τεκμηριώνει αυτή την έγκριση πριν το αίτημα φτάσει στο HSM; Μια κρυπτογραφική διεπαφή που δέχεται εξουσιοδοτημένο αίτημα δεν γνωρίζει αν το έγγραφο έχει ελεγχθεί, άρα αυτός ο έλεγχος ανήκει στην υπηρεσία μπροστά της.

Ένας επιτρεπόμενος πελάτης που έχει παραβιαστεί μπορεί επίσης να καταχραστεί τις λειτουργίες που εξουσιοδοτεί νόμιμα το διαπιστευτήριό του χωρίς να εξαγάγει ποτέ ιδιωτικό κλειδί. Η προστασία του αποθηκευμένου υλικού κλειδιού και ο έλεγχος της χρήσης κλειδιών είναι επομένως δύο συνθήκες αποδοχής, όχι μία.

Οι αρνήσεις είναι μέρος της δοκιμής αποδοχής

Δεχτείτε το επιτρεπόμενο αίτημα υπογραφής και δεχτείτε και τις αρνήσεις: μη εξουσιοδοτημένη ταυτότητα, άσχετο κλειδί και λειτουργία διαχείρισης από τη διαδρομή του συνεργάτη. Καταγράψτε τον καλούντα, τη λειτουργία, το αναγνωριστικό κλειδιού, τον χρόνο και το αποτέλεσμα, και κρατήστε ιδιωτικό υλικό κλειδιού, διαπιστευτήρια και περιεχόμενο εγγράφων έξω από τα γενικά αρχεία διαγνωστικών.

Ορίστε υπεύθυνο για την αποχώρηση του συνεργάτη, για ύποπτη παραβίαση στην πλευρά του συνεργάτη και για αλλαγές πολιτικής και ανάκτηση. Η αλλαγή διαδρομής δεν αποκαθιστά την εμπιστοσύνη σε κεντρικό υπολογιστή που μπορεί να έχει ήδη παραβιαστεί, άρα η ανάκληση πρέπει να φτάνει και στην ταυτότητα HSM.

Μια ολοκληρωμένη χειραψία VPN ανήκει σε αυτό το αρχείο. Δεν μπορεί να αντικαταστήσει ένα μεμονωμένο αποτέλεσμα ειδικό για το HSM.