პარტნიორის HSM-ზე წვდომა VPN-ის გავლით: განსაზღვრეთ გასაღების ოპერაციები

პარტნიორის მხარეს ვიღაცამ უნდა მოაწეროს ხელი დოკუმენტს ერთი დანიშნული გასაღებით, და მოთხოვნა ქსელური საკითხის სახით მოდის: მათ HSM-ამდე უნდა მიაღწიონ. ეს წინადადება განუსაზღვრელი მომსახურების ხელშეკრულების სიმპტომად მიიჩნიეთ და არა მარშრუტიზაციის პრობლემად, რადგან მოწყობილობამდე მიმავალი გვირაბი თავისთავად არაფერს იძლევა. მოთხოვნის უკან სამი კარიბჭე დგას: ხელმისაწვდომობა, HSM-ის იდენტობა და გასაღების პოლიტიკა, და თითოეულ მათგანს სხვა ადგილას სხვა გუნდი მართავს. ჩამოწერეთ ისინი სათითაოდ, თორემ საბოლოოდ მარშრუტს მისცემთ, რადგან სერტიფიკატზე საუბარი უფრო რთული იყო.

კონკრეტული შემთხვევა თვალწინ გქონდეთ: პარტნიორი წარუდგენს დამტკიცებულ დოკუმენტს ხელმოწერისთვის ერთი დასახელებული გასაღებით, და მეტს არაფერს. ყველაფერი ქვემოთ გამომდინარეობს სწორედ ამ ერთი წინადადებიდან.

ხელმისაწვდომობა, იდენტობა და გასაღების პოლიტიკა სამი კარიბჭეა

VPN კონცენტრატორი წყვეტს, ვის შეუძლია გვირაბის გახსნა და რომელ მისამართებს შეეხოს. HSM თავად წყვეტს, მის წინაშე წარდგენილი მომხმარებლის რომელი ჩანაწერი შეიძლება შევიდეს. შემდეგ გასაღების პოლიტიკა წყვეტს, რა შეუძლია ამ მომხმარებლის ჩანაწერს ერთ კონკრეტულ გასაღებთან. პირველი კარიბჭის გავლა დანარჩენ ორს ზუსტად ისე ტოვებს, როგორც იყვნენ, ამიტომ წარმატებული ხელის ჩამორთმევა ძალიან ცოტას ამტკიცებს და ამიტომ პარტნიორს შეუძლია მოწყობილობამდე მიაღწიოს და მაინც ყველა ოპერაციაზე ჩავარდეს.

მოთხოვნების დაწერამდე თითოეულ კარიბჭეს მფლობელი მიუჩინეთ. როცა მეორეს მფლობელი არ ჰყავს, ჩვეულებრივი შედეგია, რომ ფართო HSM ადმინისტრატორის იდენტობა გაიცემა, რადგან ეს ერთადერთი სერტიფიკატია, რომელიც მუშაობს.

პირველი კარიბჭე: ქსელის გზა, რომელიც პარტნიორს ეძლევა

დაასახელეთ დამტკიცებული კლიენტი ან სერვისი, მისთვის საჭირო დანიშნულება, და პროტოკოლი და პორტი, რომელზეც ეს სერვისი უსმენს. შემდეგ VPN-ის მხრიდან წვდომა ამ წყვილზე შეზღუდეთ ორივე მიმართულებით, დაბრუნების გზის ჩათვლით, რომ პოლიტიკა იყოს წინადადება, რომელსაც პარტნიორს გადაუკითხავთ. კარიბჭის ადმინისტრირება, HSM-ის მართვის ინტერფეისები და დაუკავშირებელი შიდა სისტემები ჩვეულებრივი პარტნიორული წვდომის გარეთ უნდა იყოს, და არა მხოლოდ ნაგულისხმევი მარშრუტის გარეთ.

გამოყოფილი სეგმენტი ამ გადასვლებს თვალსაჩინოს ხდის, მაგრამ სეგმენტის სახელი არაფერს აიძულებს. ტრაფიკი უნდა გაიაროს იმ კონტროლზე, რომელზეც ფიქრობთ, რომ გადის. პარტნიორისგან კავშირის დაშვება ასევე არ არის განაცხადი, რომ პარტნიორთან ყველა მანქანა სანდოა.

მეორე კარიბჭე: რა ავთენტიფიცირდება სინამდვილეში HSM-ის წინაშე

VPN-ის იდენტობა და HSM-ის იდენტობა ცალკე ობიექტებია, თუ მხარდაჭერილი ინტეგრაცია განზრახ არ აერთიანებს მათ. PKCS#11 კლიენტის შემთხვევაში აპლიკაცია სლოტზე შედის პარტნიორის ჰოსტზე სადღაც შენახული სერთიფიკატით, და სწორედ ამ შესვლას აფასებს HSM.

AWS CloudHSM სასარგებლო მითითებაა, რადგან მისი დოკუმენტაცია ორივეს ცალ-ცალკე ინახავს: HSM-ის მომხმარებლები IAM-ის მომხმარებლებისგან განსხვავდებიან, და მომხმარებლის ტიპი განსაზღვრავს, რა შეუძლია ანგარიშს. კრიპტო ოფიცერი მართავს მომხმარებლებსა და გასაღებებს, მაგრამ ის იდენტობა არ არის, რომელიც კრიპტოგრაფიულ ოპერაციებს ასრულებს, ხოლო კრიპტო მომხმარებელს შეუძლია გასაღებების გამოყენება მათი მართვის უნარის გარეშე. ეს გაყოფა ის ფორმაა, რომელიც გსურთ სხვა მომწოდებლის მოწყობილობაზეც, სადაც როლების სახელები განსხვავებული იქნება.

რომელი იდენტობაც არ უნდა გასცეთ, ის უნდა იყოს მოსახსნელი და მიკუთვნებადი იმ დეტალურობით, რომელიც მოგვიანებით დაგჭირდებათ. რამდენიმე პარტნიორზე ერთი საერთო ოპერაციული სერთიფიკატი შეზღუდვას და ანგარიშვალდებულებას ართულებს ზუსტად იმ ინციდენტში, სადაც ორივე ყველაზე მეტად მნიშვნელოვანია.

მესამე კარიბჭე: რომელი გასაღები და რომელი ოპერაცია

ხელმოწერა, გაშიფვრა, გასაღების გენერაცია, გასაღების შეფუთვა და მომხმარებლების ადმინისტრირება ცალკეული ნებართვებია და ცალ-ცალკე უნდა ჩამოითვალოს. PKCS#11 ტერმინებით, ისეთი ატრიბუტები როგორც CKA_SENSITIVE და CKA_EXTRACTABLE აღწერენ, შეუძლია თუ არა გასაღების მასალას მოდულის დატოვება გამოსაყენებელი ფორმით, და ისინი გასაღებზე მიესადაგება და არა მოწყობილობაზე. წაიკითხეთ ფაქტობრივი პოლიტიკა გასაღებზე, ნაცვლად იმისა, რომ არაექსპორტირებადობა გამოიტანოთ სიტყვა აპარატურიდან ან გვირაბის არსებობიდან.

შემდეგ იპოვეთ ბიზნესის დამტკიცება. თუ მხოლოდ დამტკიცებული დოკუმენტების ხელმოწერა შეიძლება, რომელი კომპონენტი ამყარებს ამ დამტკიცებას მოთხოვნის HSM-ამდე მისვლამდე? კრიპტოგრაფიულ ინტერფეისს, რომელიც უფლებამოსილ მოთხოვნას იღებს, წარმოდგენა არ აქვს, განხილული იყო თუ არა დოკუმენტი, ამიტომ ეს შემოწმება მის წინ მდგარ სერვისს ეკუთვნის.

დაშვებულ კლიენტს, რომელიც კომპრომეტირებულია, ასევე შეუძლია ბოროტად გამოიყენოს ოპერაციები, რომლებსაც მისი სერთიფიკატი კანონიერად უფლებას აძლევს, პირადი გასაღების ამოღების გარეშე. ამიტომ შენახული გასაღების მასალის დაცვა და გასაღების გამოყენების კონტროლი ორი მიღების პირობაა და არა ერთი.

უარები მიღების ტესტის ნაწილია

მიიღეთ დაშვებული ხელმოწერის მოთხოვნა, და მიიღეთ უარებიც: არაუფლებამოსილი იდენტობა, დაუკავშირებელი გასაღები და მართვის ოპერაცია პარტნიორის გზიდან. ჩაწერეთ გამომძახებელი, ოპერაცია, გასაღების იდენტიფიკატორი, დრო და შედეგი, და პირადი გასაღების მასალა, სერთიფიკატები და დოკუმენტების შიგთავსი ზოგადი დიაგნოსტიკური ჟურნალების გარეთ შეინახეთ.

მფლობელი მიუჩინეთ პარტნიორის გასვლას, პარტნიორის მხარეს ეჭვმიტანილ კომპრომეტაციას, და პოლიტიკის ცვლილებებსა და აღდგენას. მარშრუტის შეცვლა არ აღადგენს ნდობას ჰოსტის მიმართ, რომელიც შესაძლოა უკვე კომპრომეტირებულია, ამიტომ გაუქმებამ HSM-ის იდენტობამდეც უნდა მიაღწიოს.

დასრულებული VPN ხელის ჩამორთმევა ამ ჩანაწერში შედის. ის ვერ შეცვლის HSM-ისთვის სპეციფიკურ არც ერთ შედეგს.