Aðgangur samstarfsaðila að HSM í gegnum VPN: skilgreindu lykilaaðgerðirnar

Einhver hjá samstarfsaðilanum þarf að undirrita skjal með einum tilteknum lykli, og beiðnin berst orðuð sem netmál: þau þurfa að ná til HSM. Líttu á þá setningu sem einkenni óskilgreinds þjónustusamnings en ekki leiðarvandamáls, því göng sem ná til tækisins veita ekkert eitt sér. Þrjú hlið standa bak við beiðnina: aðgengi, auðkenni HSM og lykilastefna, og hverju þeirra er stjórnað á öðrum stað af öðru teymi. Skrifaðu þau niður eitt af öðru, annars endar þú á að veita leið vegna þess að samtalið um vottorðið var erfiðara.

Haltu því sértilviki sem á reynir fyrir augum: samstarfsaðilinn leggur fram samþykkt skjal til undirritunar með einum nafngreindum lykli, og ekkert annað. Allt hér að neðan leiðir af þeirri einu setningu.

Aðgengi, auðkenni og lykilastefna eru þrjú hlið

VPN-þéttirinn ræður því hver má opna göng og hvaða vistföngum þeir mega snerta. HSM ræður því sjálft hvaða notendaskrá sem er lögð fyrir það má skrá sig inn. Lykilastefnan ræður því svo hvað sú notendaskrá má gera með einum tilteknum lykli. Að komast í gegnum fyrsta hliðið lætur hin tvö vera nákvæmlega eins og þau voru, þess vegna sannar heppilegt handaband svo litlu og þess vegna getur samstarfsaðili náð til tækisins og misheppnast samt í hverri aðgerð.

Kortleggðu hvert hlið til eiganda áður en þú skrifar kröfur. Þegar enginn á annað hliðið er venjulega útkoman sú að breitt HSM-stjórnandaaðkenni er látið út vegna þess að það er eina auðkennisgagnið sem virkar.

Hlið eitt: netleiðin sem samstarfsaðilanum er gefin

Nefndu samþykkta biðlarann eða þjónustuna, áfangastaðinn sem hún þarf, og samskiptareglurnar og gáttina sem sú þjónusta hlustar á. Takmarkaðu svo aðgang VPN-megin við þetta par í báðar áttir, þar á meðal afturleiðina, svo stefnan sé setning sem þú getur lesið samstarfsaðilanum. Stjórnun gáttar, stjórnviðmót HSM og ótengd innri kerfi eiga að vera utan venjulegs aðgangs samstarfsaðila, ekki bara utan sjálfgefnu leiðarinnar.

Sérstakt svið gerir þessar yfirferðir sýnilegar, en nafn sviðs framfylgir engu. Umferð verður að fara í gegnum þá stýringu sem þú heldur að hún fari í gegnum. Að hleypa tengingu frá samstarfsaðilanum er líka ekki fullyrðing um að hver vél hjá honum sé áreiðanleg.

Hlið tvö: hvað auðkennir sig í raun gagnvart HSM

VPN-auðkenni og HSM-auðkenni eru aðskildir hlutir nema studd samþætting tengi þau viljandi. Með PKCS#11-biðlara framkvæmir forritið innskráningu á móti rauf með auðkennisgagni sem geymt er einhvers staðar á hýsli samstarfsaðilans, og það er þessi innskráning sem HSM metur.

AWS CloudHSM er gagnlegt viðmið því skjöl þess halda þessu tvennu aðskildu: HSM-notendur eru aðskildir frá IAM-notendum, og notendagerðin ræður því hvað reikningurinn má gera. Dulritunarembættismaður stjórnar notendum og lyklum en er ekki auðkennið sem framkvæmir dulritunaraðgerðir, en dulritunarnotandi getur notað lykla án þess að geta stjórnað þeim. Sú skipting er formið sem þú vilt jafnvel á tæki annars söluaðila, þar sem hlutverkanöfnin verða önnur.

Hvaða auðkenni sem þú gefur út verður það að vera fjarlægjanlegt og rekjanlegt í þeirri nákvæmni sem þú þarft síðar. Eitt sameiginlegt rekstrarauðkennisgagn yfir nokkra samstarfsaðila gerir afmörkun og ábyrgð erfiðari einmitt í atvikinu þar sem bæði skipta mestu.

Hlið þrjú: hvaða lykill, og hvaða aðgerð

Undirritun, afkóðun, lyklagerð, lyklavöf og notendastjórnun eru aðskilin leyfi og verða að vera skráð sér. Í PKCS#11-hugtökum lýsa eiginleikar eins og CKA_SENSITIVE og CKA_EXTRACTABLE því hvort lykilefni geti yfirgefið eininguna í nothæfu formi, og þeir eru stilltir á hvern lykil en ekki hvert tæki. Lestu raunverulegu stefnuna á lyklinum í stað þess að álykta óútflutningshæfni út frá orðinu vélbúnaður eða tilvist ganga.

Finndu svo viðskiptasamþykkið. Ef aðeins má undirrita samþykkt skjöl, hvaða hluti staðfestir það samþykki áður en beiðnin nær HSM? Dulritunarviðmót sem tekur við heimilaðri beiðni hefur ekki hugmynd um hvort skjalið var yfirfarið, svo sú athugun tilheyrir þjónustunni fyrir framan það.

Leyfður biðlari sem er í hættu getur líka misnotað aðgerðirnar sem auðkennisgagn hans heimilar lögmætlega án þess að draga nokkurn tíma út einkalykil. Að vernda geymt lykilefni og stjórna lykilanotkun eru því tvö samþykkisskilyrði, ekki eitt.

Synjanir eru hluti af samþykkisprófinu

Samþykktu leyfðu undirritunarbeiðnina, og samþykktu synjanirnar líka: óheimilt auðkenni, ótengdan lykil og stjórnunaraðgerð frá leið samstarfsaðilans. Skráðu kallandann, aðgerðina, lykilauðkennið, tímann og niðurstöðuna, og haltu einkalykilefni, auðkennisgögnum og skjalainnihaldi utan almennra greiningarskráa.

Úthlutaðu eiganda fyrir brottför samstarfsaðila, fyrir grun um árás hjá samstarfsaðilanum, og fyrir stefnubreytingar og endurheimt. Að breyta leið endurheimtir ekki traust á hýsli sem kann þegar að vera í hættu, svo afturköllun verður líka að ná til HSM-auðkennisins.

Lokið VPN-handaband á heima í þeirri skráningu. Það getur ekki komið í stað einnar niðurstöðu sem er sérstök fyrir HSM.