Գործընկերոջ HSM մուտքը VPN-ի միջով. սահմանեք բանալու գործողությունները

Գործընկերոջ մոտ ինչ-որ մեկը պետք է փաստաթուղթ ստորագրի մեկ նշանակված բանալիով, և հարցումը գալիս է որպես ցանցային խնդիր՝ նրանք պետք է հասնեն HSM-ին։ Այդ նախադասությունը դիտեք որպես չսահմանված ծառայության պայմանագրի ախտանիշ, ոչ թե երթուղավորման խնդիր, որովհետև սարքին հասնող թունելն ինքնին ոչինչ չի տալիս։ Հարցման հետևում երեք դարպաս կա՝ հասանելիություն, HSM-ի ինքնություն և բանալու քաղաքականություն, և յուրաքանչյուրը կառավարվում է այլ տեղում այլ թիմի կողմից։ Գրեք դրանք մեկը մյուսի հետևից, այլապես ի վերջո երթուղի կտաք, որովհետև վկայագրի մասին խոսակցությունն ավելի դժվար էր։

Աչքի առաջ պահեք կոնկրետ դեպքը. գործընկերը ներկայացնում է հաստատված փաստաթուղթ ստորագրման համար մեկ անվանված բանալիով, և ուրիշ ոչինչ։ Ներքևում ամեն ինչ բխում է այդ մեկ նախադասությունից։

Հասանելիությունը, ինքնությունը և բանալու քաղաքականությունը երեք դարպաս են

VPN կենտրոնացուցիչը որոշում է, թե ով կարող է թունել բացել և որ հասցեներին կարող է դիպչել։ HSM-ն ինքն է որոշում, թե իրեն ներկայացված օգտվողի որ գրառումը կարող է մուտք գործել։ Այնուհետև բանալու քաղաքականությունը որոշում է, թե այդ օգտվողի գրառումը ինչ կարող է անել մեկ կոնկրետ բանալիով։ Առաջին դարպասով անցնելը մյուս երկուսին թողնում է ճիշտ այնպիսին, ինչպիսին եղել են, դրա համար էլ հաջող ձեռքսեղմումն այդքան քիչ է ապացուցում և դրա համար էլ գործընկերը կարող է հասնել սարքին և այնուամենայնիվ ձախողվել ամեն գործողության մեջ։

Պահանջները գրելուց առաջ յուրաքանչյուր դարպասին տեր նշանակեք։ Երբ երկրորդը տեր չունի, սովորական արդյունքն այն է, որ տրվում է լայն HSM ադմինիստրատորի ինքնություն, որովհետև դա միակ հավատարմագիրն է, որն աշխատում է։

Առաջին դարպաս՝ ցանցային ուղին, որը տրվում է գործընկերոջը

Նշեք հաստատված հաճախորդը կամ ծառայությունը, նրա կարիք ունեցած նպատակակետը, և արձանագրությունն ու պորտը, որոնց վրա լսում է այդ ծառայությունը։ Այնուհետև սահմանափակեք VPN-ի կողմի հասանելիությունը այդ զույգով երկու ուղղությամբ՝ ներառյալ վերադարձի ուղին, որպեսզի քաղաքականությունը լինի նախադասություն, որը կարող եք կարդալ գործընկերոջը։ Դարպասի ադմինիստրացիան, HSM-ի կառավարման միջերեսները և չկապված ներքին համակարգերը պետք է գտնվեն սովորական գործընկերոջ հասանելիությունից դուրս, ոչ միայն լռելյայն երթուղուց դուրս։

Առանձին սեգմենտը տեսանելի է դարձնում այդ անցումները, բայց սեգմենտի անունը ոչինչ չի պարտադրում։ Երթևեկությունը պետք է անցնի այն վերահսկողությամբ, որով դուք կարծում եք, թե այն անցնում է։ Գործընկերոջից կապ ընդունելը նույնպես չի նշանակում, որ գործընկերոջ մոտ ամեն մեքենա վստահելի է։

Երկրորդ դարպաս՝ ինչն է իրականում նույնականացվում HSM-ի առաջ

VPN-ի ինքնությունը և HSM-ի ինքնությունը առանձին օբյեկտներ են, եթե միայն աջակցվող ինտեգրացիան դիտավորյալ չի միավորում դրանք։ PKCS#11 հաճախորդի դեպքում հավելվածը մուտք է գործում սլոտի մեջ գործընկերոջ հոսթում ինչ-որ տեղ պահված հավատարմագրով, և հենց այդ մուտքն է, որ գնահատում է HSM-ը։

AWS CloudHSM-ը օգտակար հղում է, որովհետև նրա փաստաթղթերը երկուսին առանձին են պահում՝ HSM-ի օգտվողները տարբերվում են IAM-ի օգտվողներից, և օգտվողի տեսակը որոշում է, թե ինչ կարող է անել հաշիվը։ Կրիպտո սպան կառավարում է օգտվողներին և բանալիները, բայց այն ինքնությունը չէ, որ կատարում է կրիպտոգրաֆիկ գործողություններ, մինչդեռ կրիպտո օգտվողը կարող է օգտագործել բանալիները՝ չկարողանալով կառավարել դրանք։ Այդ բաժանումը ձեր ուզած ձևն է նույնիսկ այլ մատակարարի սարքում, որտեղ դերերի անվանումները տարբեր կլինեն։

Ցանկացած ինքնություն, որ տրամադրեք, պետք է հեռացվող և վերագրվող լինի այն մանրամասնությամբ, որ ձեզ ավելի ուշ պետք կգա։ Մի քանի գործընկերների միջև մեկ ընդհանուր գործառնական հավատարմագիրը դժվարացնում է զսպումը և հաշվետվողականությունը հենց այն միջադեպում, որտեղ երկուսն էլ ամենակարևորն են։

Երրորդ դարպաս՝ որ բանալին և որ գործողությունը

Ստորագրումը, ապակոդավորումը, բանալու գեներացումը, բանալու փաթաթումը և օգտվողների կառավարումը առանձին թույլտվություններ են և պետք է առանձին թվարկվեն։ PKCS#11 տերմիններով՝ CKA_SENSITIVE և CKA_EXTRACTABLE ատրիբուտները նկարագրում են, թե արդյոք բանալու նյութը կարող է մոդուլից դուրս գալ օգտագործելի ձևով, և դրանք սահմանվում են բանալու համար, ոչ թե սարքի։ Կարդացեք բանալու վրա եղած փաստացի քաղաքականությունը՝ ապարատ բառից կամ թունելի առկայությունից չարտահանելիություն ենթադրելու փոխարեն։

Այնուհետև գտեք բիզնես հաստատումը։ Եթե ստորագրել կարելի է միայն հաստատված փաստաթղթերը, ապա ո՞ր բաղադրիչն է սահմանում այդ հաստատումը մինչև հարցման HSM հասնելը։ Լիազորված հարցում ընդունող կրիպտոգրաֆիկ միջերեսը պատկերացում չունի՝ փաստաթուղթը վերանայվել է, թե ոչ, ուստի այդ ստուգումը իր առջև գտնվող ծառայությանն է պատկանում։

Թույլատրված հաճախորդը, որը ենթարկվել է ներխուժման, կարող է նաև չարաշահել այն գործողությունները, որոնք նրա հավատարմագիրը օրինականորեն լիազորում է, այդպես էլ երբեք չարտահանելով մասնավոր բանալին։ Ուստի պահված բանալու նյութի պաշտպանությունը և բանալու օգտագործման վերահսկումը երկու ընդունելիության պայման են, ոչ թե մեկը։

Մերժումները ընդունելության փորձարկման մասն են

Ընդունեք թույլատրված ստորագրման հարցումը և ընդունեք նաև մերժումները՝ չլիազորված ինքնություն, չկապված բանալի և կառավարման գործողություն գործընկերոջ ուղուց։ Գրանցեք կանչողին, գործողությունը, բանալու նույնացուցիչը, ժամը և արդյունքը, իսկ մասնավոր բանալու նյութը, հավատարմագրերն ու փաստաթղթերի բովանդակությունը պահեք ընդհանուր ախտորոշիչ մատյաններից դուրս։

Տեր նշանակեք գործընկերոջ դուրսբերման, գործընկերոջ կողմում կասկածելի ներխուժման, ինչպես նաև քաղաքականության փոփոխությունների և վերականգնման համար։ Երթուղին փոխելը չի վերականգնում վստահությունը հոսթի նկատմամբ, որը կարող է արդեն ներխուժված լինել, ուստի չեղարկումը պետք է հասնի նաև HSM-ի ինքնությանը։

Ավարտված VPN ձեռքսեղմումը տեղ ունի այդ գրառության մեջ։ Այն չի կարող փոխարինել HSM-ին հատուկ որևէ արդյունքի։