Partneri HSM-juurdepääs VPN-i kaudu: määratlege võtmeoperatsioonid

Keegi partneri juures peab dokumendile ühe määratud võtmega alla kirjutama, ja taotlus saabub võrgukeeles sõnastatuna: neil on vaja HSM-ini jõuda. Käsitlege seda lauset määratlemata teenuselepingu sümptomina, mitte marsruutimisprobleemina, sest seadmeni ulatuv tunnel ei anna iseenesest midagi. Taotluse taga on kolm väravat: kättesaadavus, HSM-i identiteet ja võtmepoliitika, ning igaüht neist haldab eri koht eri meeskond. Kirjutage need ükshaaval üles, muidu annate lõpuks marsruudi, sest sertifikaadijutt oli raskem.

Hoidke konkreetne juhtum silme ees: partner esitab allkirjastamiseks kinnitatud dokumendi ühe nimetatud võtmega ja mitte millegi muuga. Kõik alljärgnev tuleneb sellest ühest lausest.

Kättesaadavus, identiteet ja võtmepoliitika on kolm väravat

VPN-kontsentraator otsustab, kes tohib tunnelit avada ja milliseid aadresse tohib puudutada. HSM otsustab ise, milline talle esitatud kasutajakirje tohib sisse logida. Seejärel otsustab võtmepoliitika, mida see kirje ühe konkreetse võtmega teha tohib. Esimesest väravast läbiminek jätab kaks ülejäänut täpselt endiseks, seetõttu tõestab õnnestunud käepigistus nii vähe ja seetõttu võib partner seadmeni jõuda ning siiski igas operatsioonis ebaõnnestuda.

Enne nõuete kirjutamist siduge iga värav omanikuga. Kui teist ei oma keegi, antakse tavaliselt välja lai HSM-i administraatori identiteet, sest see on ainus töötav volitus.

Esimene värav: võrgutee, mille partner saab

Nimetage kinnitatud klient või teenus, selle vajalik sihtkoht ning protokoll ja port, millel see teenus kuulab. Seejärel piirake VPN-i poolne juurdepääs sellele paarile mõlemas suunas, kaasa arvatud tagasitee, et poliitika oleks lause, mille saate partnerile ette lugeda. Lüüsi haldus, HSM-i haldusliidesed ja mitteseotud sisesüsteemid peaksid jääma tavalisest partneri juurdepääsust välja, mitte ainult vaikemarsruudist välja.

Eraldatud segment teeb need ületused nähtavaks, kuid segmendi nimi ei kehtesta midagi. Liiklus peab läbima selle kontrolli, mille läbimist te arvate. Partnerilt ühenduse lubamine ei ole ka väide, et iga masin partneri juures on usaldusväärne.

Teine värav: mis tegelikult HSM-i vastu autenditakse

VPN-i identiteet ja HSM-i identiteet on eraldi objektid, kui toetatud integratsioon neid teadlikult ei ühenda. PKCS#11 kliendi puhul teeb rakendus sisselogimise pesa vastu, kasutades partneri hostis kuskil hoitavat volitust, ja just seda sisselogimist hindab HSM.

AWS CloudHSM on kasulik viide, sest selle dokumentatsioon hoiab kahte lahus: HSM-i kasutajad erinevad IAM-i kasutajatest, ja kasutajatüüp määrab, mida konto tohib teha. Krüptoametnik haldab kasutajaid ja võtmeid, kuid ei ole see identiteet, kes teeb krüptograafilisi operatsioone, samas kui krüptokasutaja saab võtmeid kasutada, ilma et saaks neid hallata. See jaotus on vorm, mida soovite ka teise tarnija seadmel, kus rollide nimed erinevad.

Ükskõik millise identiteedi te väljastate, peab see olema eemaldatav ja omistatav täpsusega, mida vajate hiljem. Ühine töövolitus mitme partneri vahel teeb piiramise ja vastutuse raskemaks just selles intsidendis, kus mõlemad on kõige olulisemad.

Kolmas värav: milline võti ja milline operatsioon

Allkirjastamine, dekrüpteerimine, võtme genereerimine, võtme mähkimine ja kasutajate haldamine on eraldi load ja tuleb loetleda eraldi. PKCS#11 mõistes kirjeldavad atribuudid nagu CKA_SENSITIVE ja CKA_EXTRACTABLE, kas võtmematerjal saab moodulist lahkuda kasutataval kujul, ja neid seadistatakse võtme, mitte seadme kaupa. Lugege võtme tegelikku poliitikat, selle asemel et tuletada ekspordikeeldu sõnast riistvara või tunneli olemasolust.

Seejärel leidke äriprotsessi kinnitus. Kui allkirjastada tohib ainult kinnitatud dokumente, siis milline komponent tuvastab selle kinnituse enne, kui taotlus HSM-ini jõuab? Krüptograafiline liides, mis võtab vastu volitatud taotluse, ei tea, kas dokument on üle vaadatud, seega kuulub see kontroll selle ees olevale teenusele.

Lubatud klient, mis on kompromiteeritud, võib ka kuritarvitada operatsioone, milleks tema volitus seaduslikult õiguse annab, ilma et ta kunagi eraldaks privaatvõtit. Seega on salvestatud võtmematerjali kaitsmine ja võtmekasutuse kontrollimine kaks vastuvõtutingimust, mitte üks.

Keeldumised on vastuvõtutesti osa

Võtke vastu lubatud allkirjastamistaotlus ja võtke vastu ka keeldumised: volitamata identiteet, mitteseotud võti ja haldusoperatsioon partneri teelt. Logige kutsuja, operatsioon, võtme identifikaator, aeg ja tulemus, ning hoidke privaatne võtmematerjal, volitused ja dokumentide sisu üldistest diagnostikalogidest väljas.

Määrake omanik partneri väljaviimiseks, partneri poolel kahtlustatava kompromiteerimise ning poliitikamuudatuste ja taastamise jaoks. Marsruudi muutmine ei taasta usaldust hosti vastu, mis võib juba olla kompromiteeritud, seega peab tühistamine jõudma ka HSM-i identiteedini.

Lõpetatud VPN-i käepigistus kuulub sellesse kirjesse. See ei saa asendada üht HSM-i spetsiifilist tulemust.