Partnersa aliro al HSM tra VPN: difinu la ŝlosilajn operaciojn

Iu ĉe la partnero devas subskribi dokumenton per unu difinita ŝlosilo, kaj la peto alvenas formulita rete: ili devas atingi la HSM-on. Traktu tiun frazon kiel simptomon de nedifinita servo-kontrakto, ne kiel vojigan problemon, ĉar tunelo, kiu atingas la aparaton, mem donas nenion. Malantaŭ la peto staras tri pordegoj: atingeblo, HSM-identeco kaj ŝlosila politiko, kaj ĉiu el ili estas administrata en alia loko de alia teamo. Skribu ilin unu post la alia, alie vi finos per dono de vojo ĉar la interparolo pri la atestilo estis pli malfacila.

Tenadu la konkretan kazon antaŭ la okuloj: la partnero sendas aprobitan dokumenton por subskribo per unu nomita ŝlosilo, kaj nenion alian. Ĉio sube sekvas el tiu unu frazo.

Atingeblo, identeco kaj ŝlosila politiko estas tri pordegoj

La VPN-koncentrilo decidas, kiu rajtas malfermi tunelon kaj kiujn adresojn li rajtas tuŝi. La HSM mem decidas, kiu uzantregistraĵo prezentita al ĝi rajtas ensaluti. La ŝlosila politiko poste decidas, kion tiu registraĵo rajtas fari per unu specifa ŝlosilo. Pasado de la unua pordego lasas la aliajn du ĝuste tiaj, kiaj ili estis, tial sukcesa manpremo pruvas tiel malmulte kaj tial partnero povas atingi la aparaton kaj tamen malsukcesi ĉe ĉiu operacio.

Ligu ĉiun pordegon al posedanto antaŭ ol skribi postulojn. Kiam neniu posedas la duan, la kutima rezulto estas, ke oni donas larĝan HSM-administran identecon, ĉar ĝi estas la sola akreditaĵo, kiu funkcias.

Unua pordego: la reta vojo donita al la partnero

Nomu la aprobitan klienton aŭ servon, la celon, kiun ĝi bezonas, kaj la protokolon kaj pordon, sur kiuj tiu servo aŭskultas. Poste limigu la aliron ĉe la VPN-flanko al tiu paro en ambaŭ direktoj, inkluzive de la revena vojo, por ke la politiko estu frazo, kiun vi povas laŭtlegi al la partnero. Pordega administrado, HSM-administraj interfacoj kaj nerilataj internaj sistemoj devus resti ekster la ordinara partnersa aliro, ne nur ekster la defaŭlta vojo.

Dediĉita segmento igas tiujn transirojn videblaj, sed la nomo de segmento devigas nenion. Trafiko devas pasi tra la kontrolo, tra kiu vi pensas, ke ĝi pasas. Akcepti konekton de la partnero ankaŭ ne estas aserto, ke ĉiu maŝino ĉe la partnero estas fidinda.

Dua pordego: kio efektive aŭtentikigas al la HSM

VPN-identeco kaj HSM-identeco estas apartaj objektoj, se subtenata integriĝo ne intence kunigas ilin. Kun PKCS#11-kliento la aplikaĵo plenumas saluton al ingo per akreditaĵo konservita ie sur la gastiganto de la partnero, kaj ĝuste tiun saluton la HSM taksas.

AWS CloudHSM estas utila referenco, ĉar ĝia dokumentaro tenas la du aparte: HSM-uzantoj malsamas de IAM-uzantoj, kaj la uzanttipo regas, kion la konto rajtas fari. Kripta oficisto administras uzantojn kaj ŝlosilojn, sed li ne estas la identeco, kiu plenumas kriptografiajn operaciojn, dum kripta uzanto povas uzi ŝlosilojn sen povi administri ilin. Tiu disiĝo estas la formo, kiun vi volas eĉ sur aparato de alia vendanto, kie la rolnomoj malsamos.

Kiun ajn identecon vi eldonos, ĝi devas esti forigebla kaj atribuebla je la detalo, kiun vi bezonos poste. Unu komuna operacia akreditaĵo trans pluraj partneroj malfaciligas limigon kaj respondecon ĝuste en la incidento, kie ambaŭ plej gravas.

Tria pordego: kiu ŝlosilo, kaj kiu operacio

Subskribo, malĉifrado, ŝlosilgenerado, ŝlosilvolvado kaj uzantadministrado estas apartaj permesoj kaj devas esti listigitaj aparte. En PKCS#11-terminoj, atributoj kiel CKA_SENSITIVE kaj CKA_EXTRACTABLE priskribas, ĉu ŝlosilmaterialo povas forlasi la modulon en uzebla formo, kaj ili estas agordataj por ĉiu ŝlosilo, ne por la aparato. Legu la faktan politikon sur la ŝlosilo anstataŭ dedukti ne-eksporteblon el la vorto aparataro aŭ el la ĉeesto de tunelo.

Poste trovu la komercan aprobon. Se nur aprobitaj dokumentoj rajtas esti subskribitaj, kiu komponanto starigas tiun aprobon antaŭ ol la peto atingas la HSM-on? Kriptografia interfaco, kiu akceptas rajtigitan peton, neniel scias, ĉu la dokumento estis reviziita, do tiu kontrolo apartenas al la servo antaŭ ĝi.

Permesita kliento, kiu estas kompromitita, ankaŭ povas misuzi la operaciojn, kiujn ĝia akreditaĵo laŭleĝe rajtigas, sen iam eltiri privatan ŝlosilon. Protekti konservitan ŝlosilmaterialon kaj regi ŝlosiluzon do estas du akceptaj kondiĉoj, ne unu.

Rifuzoj estas parto de la akcepta testo

Akceptu la permesitan subskribpeton, kaj akceptu ankaŭ la rifuzojn: ne rajtigitan identecon, nerilatan ŝlosilon kaj administran operacion el la vojo de la partnero. Registru la vokanton, la operacion, la ŝlosil-identigilon, la tempon kaj la rezulton, kaj tenu privatan ŝlosilmaterialon, akreditaĵojn kaj dokumentenhavon ekster la ĝeneralaj diagnostikaj protokoloj.

Nomumu posedanton por la forigo de la partnero, por suspektata kompromito ĉe la partnera flanko, kaj por politikaj ŝanĝoj kaj restarigo. Ŝanĝi vojon ne restarigas fidon al gastiganto, kiu eble jam estas kompromitita, do revoko devas atingi ankaŭ la HSM-identecon.

Finita VPN-manpremo apartenas al tiu registro. Ĝi ne povas anstataŭi unu solan HSM-specifan rezulton.