Bazkidearen HSM sarbidea VPN baten bidez: definitu gako-eragiketak

Bazkideko norbaitek dokumentu bat gako jakin batekin sinatu behar du, eta eskaera sare-hizkuntzan formulatuta iristen da: HSM-ra iritsi behar dute. Trata ezazu esaldi hori zerbitzu-kontratu zehaztugabe baten sintoma gisa, ez bideratze-arazo gisa, zeren aparatua ukitzen duen tunel batek berez ez du ezer ematen. Eskakizunaren atzean hiru ate daude: irisgarritasuna, HSM identitatea eta gako-politika, eta bakoitza beste leku batean administratzen du beste talde batek. Idatz itzazu bat-batean, bestela bide bat emango duzu ziurtagiriaz hitz egitea zailagoa zelako.

Eduki kasu zehatza begien aurrean: bazkideak dokumentu onartu bat bidaltzen du sinatzeko gako izendatu batekin, eta besterik ez. Beheko guztia esaldi bakar horretatik dator.

Irisgarritasuna, identitatea eta gako-politika hiru ate dira

VPN kontzentratzaileak erabakitzen du nork ireki dezakeen tunel bat eta zein helbide ukitu ditzakeen. HSM-k berak erabakitzen du aurkezten zaion erabiltzaile-erregistro zein sar daitekeen. Gero gako-politikak erabakitzen du erregistro horrek zer egin dezakeen gako jakin batekin. Lehen atea pasatzeak beste biak zeuden bezala uzten ditu, horregatik frogatzen du hain gutxi esku-ukaldi arrakastatsu batek eta horregatik irits daiteke bazkidea aparatura eta hala ere huts egin eragiketa guztietan.

Lotu ate bakoitza jabe batekin baldintzak idatzi aurretik. Bigarrena inork ez duenean, ohiko emaitza HSM administratzaile identitate zabal bat ematea da, funtzionatzen duen kredentzial bakarra delako.

Lehen atea: bazkideak jasotzen duen sare-bidea

Izenda ezazu onartutako bezeroa edo zerbitzua, behar duen helburua, eta zerbitzu horrek entzuten duen protokoloa eta ataka. Gero mugatu VPN aldeko sarbidea bikote horretara bi noranzkoetan, itzulera-bidea barne, politika bazkideari irakur diezaiokezun esaldi bat izan dadin. Atazaren administrazioa, HSM kudeatzeko interfazeak eta erlazionatuta ez dauden barne-sistemak bazkidearen ohiko sarbidetik kanpo egon beharko lirateke, ez soilik bide lehenetsitik kanpo.

Segmentu dedikatu batek zeharkaldi horiek ikusgai jartzen ditu, baina segmentu baten izenak ez du ezer inposatzen. Trafikoak uste duzun kontrolatik pasa behar du. Bazkidearen konexio bat onartzea ere ez da bazkideko makina guztiak fidagarriak direlako adierazpena.

Bigarren atea: zer autentifikatzen den HSM-en aurrean

VPN identitatea eta HSM identitatea objektu bereiziak dira, integrazio onartu batek nahita batzen ez baditu. PKCS#11 bezero batekin, aplikazioak saio-hasiera egiten du zirrikitu batean, bazkidearen ostalarian nonbait gordetako kredentzial batekin, eta saio-hasiera horixe da HSM-k ebaluatzen duena.

AWS CloudHSM erreferentzia erabilgarria da, haren dokumentazioak biak bereizita mantentzen dituelako: HSM erabiltzaileak IAM erabiltzaileetatik bereizten dira, eta erabiltzaile motak zehazten du kontuak zer egin dezakeen. Kriptografia-ofizialak erabiltzaileak eta gakoak kudeatzen ditu, baina ez da eragiketa kriptografikoak egiten dituen identitatea, eta kriptografia-erabiltzaileak gakoak erabil ditzake haiek kudeatu ezin izanik. Bereizketa hori da nahi duzun forma, beste hornitzaile baten aparatuan ere, non rolen izenak desberdinak izango diren.

Edozein identitate jaulkitzen baduzu, kentzeko modukoa eta egotzi beharrekoa izan behar du geroago beharko duzun xehetasunean. Bazkide batzuen artean partekatutako eragiketa-kredentzial batek edukitzea eta erantzukizuna zailago egiten ditu biak gehien axola diren gertakarian.

Hirugarren atea: zein gako eta zein eragiketa

Sinatzea, deszifratzea, gakoak sortzea, gakoak biltzea eta erabiltzaileen administrazioa baimen bereiziak dira eta bereizita zerrendatu behar dira. PKCS#11 terminoetan, CKA_SENSITIVE eta CKA_EXTRACTABLE bezalako atributuek gako-materiala modulutik erabilgarri atera daitekeen adierazten dute, eta gako bakoitzeko ezartzen dira, ez aparatu bakoitzeko. Irakurri gakoaren benetako politika, ez ondorioztatu esportaezintasuna hardware hitzetik edo tunel baten presentziatik.

Gero aurkitu negozio-onarpena. Onartutako dokumentuak soilik sinatu badaitezke, zein osagaik ezartzen du onarpen hori eskaera HSM-ra iritsi aurretik? Eskaera baimendua onartzen duen interfaze kriptografiko batek ez daki dokumentua berrikusi den, beraz egiaztapen hori aurrean duen zerbitzuarena da.

Onartutako bezero bat konprometituta badago, bere kredentzialak zilegitasunez baimendutako eragiketak ere gaizki erabil ditzake, inoiz gako pribaturik atera gabe. Beraz, gordetako gako-materiala babestea eta gakoen erabilera kontrolatzea bi onarpen-baldintza dira, ez bat.

Uko egiteak onarpen-probaren parte dira

Onartu baimendutako sinadura-eskaera, eta onartu uko egiteak ere: baimenik gabeko identitatea, erlazionatuta ez dagoen gakoa eta bazkidearen bidetik datorren kudeaketa-eragiketa. Erregistratu deitzailea, eragiketa, gako-identifikatzailea, ordua eta emaitza, eta eduki gako pribatuaren materiala, kredentzialak eta dokumentuen edukia diagnostiko-erregistro orokorretatik kanpo.

Izenda ezazu jabe bat bazkidea kentzeko, bazkidearen aldean susmatutako konpromisoa izateko, eta politika-aldaketak eta berreskuratzea egiteko. Bide bat aldatzeak ez du konfiantza berrezartzen agian dagoeneko konprometituta egon daitekeen ostalari batean, beraz baliogabetzeak HSM identitatera ere iritsi behar du.

Osatutako VPN esku-ukaldi bat erregistro horretakoa da. Ezin du HSM-ari berariazko emaitza bakar bat ordezkatu.