Shigar da abokin tarayya zuwa HSM ta VPN: ayyana ayyukan maɓalli

Wani a wurin abokin tarayya dole ya rattaba hannu kan takarda da maɓalli ɗaya da aka zaɓa, kuma buƙatar ta zo a matsayin maganar sadarwa: suna buƙatar isa HSM. Ɗauki wannan jumlar a matsayin alamar kwangilar sabis da ba a ayyana ba, ba matsalar hanya ba, domin rami da ya isa na'urar ba ya ba da komai da kansa. Ƙofofi uku suna bayan buƙatar: isarwa, asalin HSM da manufar maɓalli, kuma kowanne ana gudanar da shi a wani wuri daban da wata ƙungiya daban. Rubuta su ɗaya bayan ɗaya, in ba haka ba za ka ba da hanya saboda tattaunawar takardar shaidar ta fi wahala.

Ka riƙe takamaiman lamarin a gani: abokin tarayya ya gabatar da takardar da aka amince da ita don rattaba hannu da maɓalli ɗaya da aka ambata, ba wani abu ba. Duk abin da ke ƙasa ya biyo daga wannan jumla ɗaya.

Isarwa, asali da manufar maɓalli ƙofofi uku ne

Mai tattara VPN ne ke yanke shawarar wanda zai iya buɗe rami da waɗanne adireshi zai iya taɓawa. HSM da kansa ke yanke shawara wane rikodin mai amfani da aka gabatar masa zai iya shiga. Sannan manufar maɓalli ta yanke shawarar abin da wannan rikodin mai amfani zai iya yi da takamaiman maɓalli ɗaya. Wucewa ta ƙofar farko yana barin sauran biyun daidai yadda suke, shi ya sa musayar hannu mai nasara ke tabbatar da kaɗan kuma shi ya sa abokin tarayya zai iya isa na'urar kuma ya kasa kowace aiki.

Ba da kowace ƙofa ga wani mai ita kafin ka rubuta buƙatu. Lokacin da babu wanda ya mallaki ta biyu, sakamakon da aka saba shi ne a ba da babban asalin mai kula da HSM saboda shi ne kawai takardar shaidar da ke aiki.

Ƙofa ta ɗaya: hanyar sadarwar da aka ba abokin tarayya

Faɗi abokin ciniki ko sabis ɗin da aka yarda da shi, wurin da yake buƙata, da ka'idar da tashar da wannan sabis ɗin ke saurare. Sannan ka iyakance shiga daga gefen VPN ga wannan biyun a duka alkibla, har da hanyar dawowa, domin manufar ta zama jumla da za ka iya karantawa abokin tarayya. Gudanar da ƙofa, mu'amalar sarrafa HSM da tsarin cikin gida da ba su da alaƙa ya kamata su kasance a wajen shigar abokin tarayya ta yau da kullum, ba kawai a wajen hanyar da aka saba ba.

Wani yanki na musamman yana sa waɗannan ratsawa a bayyane, amma sunan yanki ba ya tilasta komai. Dole zirga-zirga ta bi ta ikon da kake tsammanin ta bi. Karɓar haɗi daga abokin tarayya kuma ba magana ba ce cewa kowace na'ura a wurin abokin tarayya abin dogaro ce.

Ƙofa ta biyu: me ke tabbatar da kansa ga HSM

Asalin VPN da asalin HSM abubuwa ne daban sai idan haɗin da aka goyi bayan ya haɗa su da gangan. Tare da abokin ciniki na PKCS#11, aikace-aikacen yana shiga cikin rumbu da takardar shaidar da aka ajiye wani wuri a kwamfutar abokin tarayya, kuma wannan shiga ne HSM ke tantancewa.

AWS CloudHSM misali ne mai amfani domin takardunsa suna raba biyun: masu amfani da HSM sun bambanta da masu amfani da IAM, kuma nau'in mai amfani ne ke ƙayyade abin da asusun zai iya yi. Jami'in kripto yana kula da masu amfani da maɓallai amma ba shi ne asalin da ke yin ayyukan kripto ba, yayin da mai amfani da kripto zai iya amfani da maɓallai ba tare da iya sarrafa su ba. Wannan rabo shi ne siffar da kake so ko a kan na'urar wani mai sayarwa, inda sunayen ayyuka za su bambanta.

Duk asalin da ka bayar, dole ya zama mai iya cirewa kuma mai iya dangantawa a matakin da za ka buƙata daga baya. Takardar shaidar aiki ɗaya da aka raba tsakanin abokan tarayya da yawa tana sa tsarewa da lissafin ya fi wahala a daidai wannan lamarin da duka biyun suka fi muhimmanci.

Ƙofa ta uku: wane maɓalli, kuma wane aiki

Rattaba hannu, ɓoye bayanai, ƙirƙirar maɓalli, naɗe maɓalli da sarrafa masu amfani izini ne daban kuma dole a lissafa su daban. A cikin kalmomin PKCS#11, sifofi kamar CKA_SENSITIVE da CKA_EXTRACTABLE suna bayyana ko kayan maɓalli zai iya barin module a siffar da za a iya amfani da ita, kuma ana saita su ga kowane maɓalli ba ga kowace na'ura ba. Karanta ainihin manufar kan maɓallin maimakon tsammanin ba za a iya fitar da shi ba daga kalmar kayan aiki ko daga kasancewar rami.

Sannan nemo amincewar kasuwanci. Idan takardun da aka amince da su ne kawai za a iya rattaba hannu, wane ɓangare ne ke tabbatar da wannan amincewar kafin buƙatar ta isa HSM? Mu'amalar kripto da ke karɓar buƙatar da aka ba da izini ba ta da masaniyar ko an duba takardar, don haka wannan binciken na sabis ɗin da ke gabansa ne.

Abokin ciniki da aka yarda da shi wanda aka tsunduma zai iya yin amfani da ayyukan da takardar shaidarsa ta ba da izini bisa doka ba tare da fitar da maɓallin sirri ba. Don haka kare kayan maɓalli da aka ajiye da sarrafa amfanin maɓalli sharuɗɗan karɓa biyu ne, ba ɗaya ba.

Ƙin amincewa wani ɓangare ne na gwajin karɓa

Karɓi buƙatar rattaba hannu da aka yarda da ita, kuma karɓi ƙin amincewa: asalin da ba a ba da izini ba, maɓallin da ba shi da alaƙa, da aikin sarrafawa daga hanyar abokin tarayya. Yi rikodin mai kira, aikin, mai gano maɓalli, lokaci da sakamako, kuma ka kiyaye kayan maɓallin sirri, takardun shaida da abubuwan takardu daga log ɗin bincike na gama gari.

Ba da mai ita don fitar da abokin tarayya, don zargin tsunduma a gefen abokin tarayya, da don canje-canjen manufa da farfadowa. Canza hanya ba ya dawo da amana ga na'urar da wataƙila an riga an tsunduma ta, don haka sokewa dole ta isa asalin HSM ma.

Cikakkiyar musayar hannu ta VPN tana cikin wannan rikodin. Ba za ta iya maye gurbin ko ɗaya sakamakon da ya shafi HSM ba.