Kumppanin HSM-käyttö VPN:n kautta: määritä avainoperaatiot

Kumppanilla jonkun on allekirjoitettava asiakirja yhdellä nimetyllä avaimella, ja pyyntö saapuu verkkokielellä muotoiltuna: heidän on päästävä HSM:lle. Käsittele tuota lausetta määrittelemättömän palvelusopimuksen oireena, älä reititysongelmana, sillä laitteeseen asti ulottuva tunneli ei itsessään anna mitään. Pyynnön takana on kolme porttia: tavoitettavuus, HSM-identiteetti ja avainkäytäntö, ja kutakin hallinnoidaan eri paikassa eri tiimin toimesta. Kirjoita ne yksi kerrallaan, muuten päädyt myöntämään reitin, koska sertifikaattikeskustelu oli vaikeampi.

Pidä konkreettinen tapaus näkyvissä: kumppani toimittaa hyväksytyn asiakirjan allekirjoitettavaksi yhdellä nimetyllä avaimella, eikä mitään muuta. Kaikki alla seuraa tuosta yhdestä lauseesta.

Tavoitettavuus, identiteetti ja avainkäytäntö ovat kolme porttia

VPN-keskitin päättää, kuka saa avata tunnelin ja mitä osoitteita saa koskettaa. HSM päättää itse, mikä sille esitetty käyttäjätietue saa kirjautua sisään. Avainkäytäntö päättää sitten, mitä tuo tietue saa tehdä yhdellä tietyllä avaimella. Ensimmäisen portin läpäiseminen jättää kaksi muuta täsmälleen sellaisiksi kuin ne olivat, siksi onnistunut kättely todistaa niin vähän ja siksi kumppani voi päästä laitteelle ja silti epäonnistua jokaisessa operaatiossa.

Yhdistä jokainen portti omistajaan ennen vaatimusten kirjoittamista. Kun toisella ei ole omistajaa, tavallinen lopputulos on, että jaetaan laaja HSM-ylläpitäjän identiteetti, koska se on ainoa toimiva tunniste.

Ensimmäinen portti: verkkopolku, jonka kumppani saa

Nimeä hyväksytty asiakasohjelma tai palvelu, sen tarvitsema kohde sekä protokolla ja portti, jossa palvelu kuuntelee. Rajoita sitten VPN:n puolen pääsy tuohon pariin molempiin suuntiin, paluupolku mukaan lukien, jotta käytäntö on lause, jonka voit lukea kumppanille. Yhdyskäytävän hallinta, HSM:n hallintaliittymät ja asiaankuulumattomat sisäiset järjestelmät tulisi pitää tavallisen kumppanipääsyn ulkopuolella, ei vain oletusreitin ulkopuolella.

Erillinen segmentti tekee noista ylityksistä näkyviä, mutta segmentin nimi ei pakota mitään. Liikenteen on kuljettava sen valvonnan läpi, jonka uskot sen kulkevan. Yhteyden hyväksyminen kumppanilta ei ole myöskään väite, että jokainen kumppanin kone on luotettava.

Toinen portti: mikä todella todentuu HSM:lle

VPN-identiteetti ja HSM-identiteetti ovat erillisiä objekteja, ellei tuettu integraatio liitä niitä tarkoituksella yhteen. PKCS#11-asiakasohjelmassa sovellus kirjautuu slottiin kumppanin isäntäkoneelle jonnekin tallennetulla tunnisteella, ja juuri tuon kirjautumisen HSM arvioi.

AWS CloudHSM on hyödyllinen viite, koska sen dokumentaatio pitää kaksi erillään: HSM-käyttäjät eroavat IAM-käyttäjistä, ja käyttäjätyyppi määrää, mitä tili saa tehdä. Krypto-upseeri hallinnoi käyttäjiä ja avaimia mutta ei ole se identiteetti, joka suorittaa kryptografisia operaatioita, kun taas kryptokäyttäjä voi käyttää avaimia hallitsematta niitä. Tuo erottelu on se muoto, jonka haluat myös toisen toimittajan laitteella, jossa roolien nimet poikkeavat.

Minkä tahansa identiteetin myönnätkin, sen on oltava poistettavissa ja kohdennettavissa sillä tarkkuudella, jota tarvitset myöhemmin. Yksi jaettu operatiivinen tunniste useiden kumppanien kesken vaikeuttaa rajaamista ja vastuullisuutta juuri siinä tapauksessa, jossa molemmat ovat tärkeimpiä.

Kolmas portti: mikä avain ja mikä operaatio

Allekirjoitus, salauksen purku, avainten luonti, avainten kääre ja käyttäjähallinta ovat erillisiä käyttöoikeuksia ja ne on lueteltava erikseen. PKCS#11-termein attribuutit kuten CKA_SENSITIVE ja CKA_EXTRACTABLE kuvaavat, voiko avainmateriaali poistua moduulista käyttökelpoisessa muodossa, ja ne asetetaan avainkohtaisesti, ei laitekohtaisesti. Lue avaimen todellinen käytäntö sen sijaan, että päättelet viennin eston sanasta laitteisto tai tunnelin olemassaolosta.

Etsi sitten liiketoiminnan hyväksyntä. Jos vain hyväksyttyjä asiakirjoja saa allekirjoittaa, mikä komponentti vahvistaa tuon hyväksynnän ennen kuin pyyntö saapuu HSM:lle? Kryptografinen rajapinta, joka hyväksyy valtuutetun pyynnön, ei tiedä, onko asiakirja tarkistettu, joten tuo tarkistus kuuluu sen edessä olevalle palvelulle.

Sallittu asiakasohjelma, joka on vaarantunut, voi myös väärinkäyttää operaatioita, joihin sen tunniste laillisesti valtuuttaa, koskaan yksityistä avainta poistamatta. Tallennetun avainmateriaalin suojaaminen ja avainten käytön valvonta ovat siis kaksi hyväksymisehtoa, ei yksi.

Hylkäykset ovat osa hyväksymistestiä

Hyväksy sallittu allekirjoituspyyntö ja hyväksy myös hylkäykset: valtuuttamaton identiteetti, asiaankuulumaton avain ja hallintaoperaatio kumppanin polulta. Kirjaa kutsuja, operaatio, avaintunniste, aika ja tulos, ja pidä yksityinen avainmateriaali, tunnisteet ja asiakirjojen sisältö yleisten diagnostiikkalokien ulkopuolella.

Nimeä omistaja kumppanin poistolle, kumppanin puolella epäillylle vaarantumiselle sekä käytäntömuutoksille ja palautukselle. Reitin muuttaminen ei palauta luottamusta isäntään, joka voi jo olla vaarantunut, joten peruutuksen on yletyttävä myös HSM-identiteettiin.

Valmis VPN-kättely kuuluu tuohon kirjaukseen. Se ei voi korvata yhtä HSM-kohtaista tulosta.