Серіктестің VPN арқылы HSM-ге қатынауы: кілт операцияларын анықтаңыз

Серіктесте біреу тағайындалған бір кілтпен құжатқа қол қоюы керек, ал сұраныс желі мәселесі ретінде келеді: олар HSM-ге жетуі керек. Бұл сөйлемді анықталмаған қызмет шартының белгісі деп қараңыз, маршруттау мәселесі деп емес, өйткені құрылғыға жететін туннель өздігінен ештеңе бермейді. Сұраныстың артында үш қақпа бар: қолжетімділік, HSM сәйкестігі және кілт саясаты, және әрқайсысын басқа жерде басқа топ басқарады. Оларды бір-бірлеп жазып шығыңыз, әйтпесе сертификат туралы әңгіме қиын болғандықтан, соңында маршрут бересіз.

Нақты жағдайды есте ұстаңыз: серіктес қол қоюға мақұлданған құжатты бір аталған кілтпен ұсынады, басқа ештеңе жоқ. Төмендегінің бәрі осы бір сөйлемнен шығады.

Қолжетімділік, сәйкестік және кілт саясаты — үш қақпа

VPN концентраторы кімнің туннель аша алатынын және қай мекенжайларға қол тигізе алатынын шешеді. HSM өзіне ұсынылған қай пайдаланушы жазбасының кіре алатынын өзі шешеді. Содан кейін кілт саясаты бұл пайдаланушы жазбасының бір нақты кілтпен не істей алатынын шешеді. Бірінші қақпадан өту қалған екеуін дәл сол қалпында қалдырады, сондықтан сәтті қол алысу сонша азды дәлелдейді және серіктес құрылғыға жетіп, бәрібір әр операцияда сәтсіздікке ұшырауы мүмкін.

Талаптарды жазбас бұрын әр қақпаға иесін тағайындаңыз. Екіншісінің иесі болмаса, әдеттегі нәтиже — кең HSM әкімшісінің сәйкестігі беріледі, өйткені ол жалғыз жұмыс істейтін тіркелгі дерегі.

Бірінші қақпа: серіктеске берілетін желі жолы

Мақұлданған клиентті немесе қызметті, оған қажет межелі орынды, және сол қызмет тыңдайтын хаттама мен портты атаңыз. Содан кейін VPN жағынан қатынауды сол жұпқа екі бағытта шектеңіз, қайту жолын қоса, сонда саясат серіктеске қайта оқып бере алатын сөйлемге айналады. Шлюз әкімшілігі, HSM басқару интерфейстері және қатысы жоқ ішкі жүйелер қарапайым серіктес қатынауынан тыс тұруы керек, әдепкі маршруттан тыс қана емес.

Арнайы сегмент сол өткелдерді көрінетін етеді, бірақ сегменттің атауы ештеңені мәжбүрлемейді. Трафик сіз ойлаған бақылау арқылы өтуі керек. Серіктестен қосылымды қабылдау серіктестегі әр машинаның сенімді екенін білдірмейді.

Екінші қақпа: HSM алдында шын мәнінде не аутентификацияланады

VPN сәйкестігі мен HSM сәйкестігі — қолдау көрсетілетін интеграция оларды әдейі біріктірмейінше, бөлек нысандар. PKCS#11 клиентімен қолданба серіктестің хосттарының бір жерінде сақталған тіркелгі дерегімен слотқа кіреді, және HSM дәл осы кіруді бағалайды.

AWS CloudHSM пайдалы үлгі, өйткені оның құжаттамасы екеуін бөлек ұстайды: HSM пайдаланушылары IAM пайдаланушыларынан бөлек, және пайдаланушы түрі тіркелгінің не істей алатынын анықтайды. Крипто шенеунік пайдаланушылар мен кілттерді басқарады, бірақ криптографиялық операцияларды орындайтын сәйкестік емес, ал крипто пайдаланушы кілттерді басқара алмай-ақ оларды қолдана алады. Бұл бөліну — рөл атаулары өзгеше болатын басқа жеткізушінің құрылғысында да қалаған пішініңіз.

Қандай сәйкестік берсеңіз де, ол кейін қажет болатын егжей-тегжейлікте жойылуға және тиесілі болуға тиіс. Бірнеше серіктеске ортақ бір операциялық тіркелгі дерегі екеуі де ең маңызды болатын оқиғада оқшаулау мен есеп беруді қиындатады.

Үшінші қақпа: қай кілт және қай операция

Қол қою, шифрды ашу, кілт жасау, кілтті орау және пайдаланушыларды басқару — бөлек рұқсаттар және оларды бөлек тізімдеу керек. PKCS#11 терминдерінде CKA_SENSITIVE және CKA_EXTRACTABLE сияқты атрибуттар кілт материалының модульден пайдалынылатын пішінде шыға алатынын сипаттайды, және олар құрылғыға емес, әр кілтке орнатылады. Аппарат деген сөзден немесе туннельдің болуынан экспортталмайтындық туралы қорытынды жасаудың орнына, кілттегі нақты саясатты оқыңыз.

Содан кейін іскерлік мақұлдауды табыңыз. Егер тек мақұлданған құжаттарға қол қоюға болса, сұраныс HSM-ге жетпей тұрып қай компонент бұл мақұлдауды белгілейді? Уәкілетті сұранысты қабылдайтын криптографиялық интерфейс құжаттың қаралғанын білмейді, сондықтан бұл тексеру оның алдындағы қызметке тиесілі.

Рұқсат етілген клиент бұзылса, ол өзінің тіркелгі дерегі заңды түрде рұқсат ететін операцияларды жеке кілтті ешқашан шығармай-ақ теріс пайдалана алады. Сондықтан сақталған кілт материалын қорғау және кілтті пайдалануды бақылау — екі қабылдау шарты, бір емес.

Бас тартулар қабылдау сынағының бөлігі

Рұқсат етілген қол қою сұранысын қабылдаңыз, және бас тартуларды да қабылдаңыз: рұқсат етілмеген сәйкестік, қатысы жоқ кілт және серіктес жолынан келген басқару операциясы. Қоңырау шарушыны, операцияны, кілт идентификаторын, уақытты және нәтижені жазып алыңыз, ал жеке кілт материалын, тіркелгі деректерін және құжат мазмұнын жалпы диагностикалық журналдардан тыс ұстаңыз.

Серіктестің шығуына, серіктес жағындағы бұзылу күдігіне, сондай-ақ саясат өзгерістері мен қалпына келтіруге иесін тағайындаңыз. Маршрутты өзгерту бұрыннан бұзылған болуы мүмкін хостқа деген сенімді қалпына келтірмейді, сондықтан кері қайтарып алу HSM сәйкестігіне де жетуі керек.

Аяқталған VPN қол алысуы сол жазбаға кіреді. Ол HSM-ге тән бірде-бір нәтиженің орнын баса алмайды.