VPN ಮೂಲಕ ಪಾಲುದಾರರ HSM ಪ್ರವೇಶ: ಕೀಲಿ ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ವ್ಯಾಖ್ಯಾನಿಸಿ

ಪಾಲುದಾರರ ಬಳಿ ಯಾರೋ ಒಂದು ನಿಗದಿತ ಕೀಲಿಯಿಂದ ದಾಖಲೆಗೆ ಸಹಿ ಹಾಕಬೇಕು, ಮತ್ತು ವಿನಂತಿ ನೆಟ್ವರ್ಕಿಂಗ್ ವಿಷಯವಾಗಿ ಬರುತ್ತದೆ: ಅವರು HSM ತಲುಪಬೇಕು. ಆ ವಾಕ್ಯವನ್ನು ರೂಟಿಂಗ್ ಸಮಸ್ಯೆಯಲ್ಲ, ವ್ಯಾಖ್ಯಾನಿಸದ ಸೇವಾ ಒಪ್ಪಂದದ ಲಕ್ಷಣವೆಂದು ಪರಿಗಣಿಸಿ, ಏಕೆಂದರೆ ಸಾಧನವನ್ನು ತಲುಪುವ ಸುರಂಗ ತಾನೇ ಏನನ್ನೂ ನೀಡುವುದಿಲ್ಲ. ವಿನಂತಿಯ ಹಿಂದೆ ಮೂರು ದ್ವಾರಗಳಿವೆ: ತಲುಪುವಿಕೆ, HSM ಗುರುತು ಮತ್ತು ಕೀಲಿ ನೀತಿ, ಮತ್ತು ಪ್ರತಿಯೊಂದನ್ನು ಬೇರೆ ಸ್ಥಳದಲ್ಲಿ ಬೇರೆ ತಂಡ ನಿರ್ವಹಿಸುತ್ತದೆ. ಅವನ್ನು ಒಂದೊಂದಾಗಿ ಬರೆಯಿರಿ, ಇಲ್ಲದಿದ್ದರೆ ಪ್ರಮಾಣಪತ್ರದ ಮಾತುಕತೆ ಕಷ್ಟವಾಗಿದ್ದರಿಂದ ನೀವು ಮಾರ್ಗವನ್ನೇ ನೀಡುತ್ತೀರಿ.

ನಿರ್ದಿಷ್ಟ ಪ್ರಕರಣವನ್ನು ಗಮನದಲ್ಲಿಡಿ: ಪಾಲುದಾರರು ಒಂದು ಹೆಸರಿಸಿದ ಕೀಲಿಯಿಂದ ಸಹಿಗೆ ಅನುಮೋದಿತ ದಾಖಲೆಯನ್ನು ಸಲ್ಲಿಸುತ್ತಾರೆ, ಬೇರೇನೂ ಇಲ್ಲ. ಕೆಳಗಿನ ಎಲ್ಲವೂ ಆ ಒಂದೇ ವಾಕ್ಯದಿಂದ ಬರುತ್ತದೆ.

ತಲುಪುವಿಕೆ, ಗುರುತು ಮತ್ತು ಕೀಲಿ ನೀತಿ ಮೂರು ದ್ವಾರಗಳು

VPN ಕೇಂದ್ರೀಕರಣಕಾರ ಯಾರು ಸುರಂಗ ತೆರೆಯಬಹುದು ಮತ್ತು ಯಾವ ವಿಳಾಸಗಳನ್ನು ಮುಟ್ಟಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. HSM ತನ್ನ ಮುಂದೆ ಇಡಲಾದ ಯಾವ ಬಳಕೆದಾರ ದಾಖಲೆ ಲಾಗಿನ್ ಆಗಬಹುದು ಎಂಬುದನ್ನು ತಾನೇ ನಿರ್ಧರಿಸುತ್ತದೆ. ನಂತರ ಕೀಲಿ ನೀತಿ ಆ ಬಳಕೆದಾರ ದಾಖಲೆ ಒಂದು ನಿರ್ದಿಷ್ಟ ಕೀಲಿಯೊಂದಿಗೆ ಏನು ಮಾಡಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಮೊದಲ ದ್ವಾರವನ್ನು ದಾಟುವುದು ಉಳಿದ ಎರಡನ್ನು ಇದ್ದಂತೆಯೇ ಬಿಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಯಶಸ್ವಿ ಹ್ಯಾಂಡ್ಶೇಕ್ ತುಂಬಾ ಕಡಿಮೆ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ ಮತ್ತು ಆದ್ದರಿಂದ ಪಾಲುದಾರರು ಸಾಧನವನ್ನು ತಲುಪಿಯೂ ಪ್ರತಿ ಕಾರ್ಯಾಚರಣೆಯಲ್ಲಿ ವಿಫಲರಾಗಬಹುದು.

ಅಗತ್ಯಗಳನ್ನು ಬರೆಯುವ ಮೊದಲು ಪ್ರತಿ ದ್ವಾರಕ್ಕೆ ಮಾಲೀಕರನ್ನು ನಿಗದಿಪಡಿಸಿ. ಎರಡನೆಯದಕ್ಕೆ ಮಾಲೀಕರಿಲ್ಲದಿದ್ದಾಗ, ಸಾಮಾನ್ಯ ಫಲಿತಾಂಶವೆಂದರೆ ವಿಶಾಲ HSM ನಿರ್ವಾಹಕ ಗುರುತನ್ನು ನೀಡಲಾಗುತ್ತದೆ, ಏಕೆಂದರೆ ಅದೊಂದೇ ಕೆಲಸ ಮಾಡುವ ರುಜುವಾತು.

ಮೊದಲ ದ್ವಾರ: ಪಾಲುದಾರರಿಗೆ ನೀಡುವ ನೆಟ್ವರ್ಕ್ ಮಾರ್ಗ

ಅನುಮೋದಿತ ಕ್ಲೈಂಟ್ ಅಥವಾ ಸೇವೆ, ಅದಕ್ಕೆ ಬೇಕಾದ ಗಮ್ಯಸ್ಥಾನ, ಮತ್ತು ಆ ಸೇವೆ ಕೇಳುವ ಪ್ರೋಟೋಕಾಲ್ ಹಾಗೂ ಪೋರ್ಟ್ ಅನ್ನು ಹೆಸರಿಸಿ. ನಂತರ VPN ಕಡೆಯಿಂದ ಪ್ರವೇಶವನ್ನು ಆ ಜೋಡಿಗೆ ಎರಡೂ ದಿಕ್ಕುಗಳಲ್ಲಿ ಸೀಮಿತಗೊಳಿಸಿ, ಹಿಂತಿರುಗುವ ಮಾರ್ಗ ಸೇರಿದಂತೆ, ಇದರಿಂದ ನೀತಿಯು ಪಾಲುದಾರರಿಗೆ ಓದಿ ಹೇಳಬಹುದಾದ ವಾಕ್ಯವಾಗುತ್ತದೆ. ಗೇಟ್ವೇ ನಿರ್ವಹಣೆ, HSM ನಿರ್ವಹಣಾ ಇಂಟರ್ಫೇಸ್ಗಳು ಮತ್ತು ಸಂಬಂಧವಿಲ್ಲದ ಆಂತರಿಕ ವ್ಯವಸ್ಥೆಗಳು ಸಾಮಾನ್ಯ ಪಾಲುದಾರ ಪ್ರವೇಶದ ಹೊರಗಿರಬೇಕು, ಕೇವಲ ಡೀಫಾಲ್ಟ್ ಮಾರ್ಗದ ಹೊರಗೆ ಅಲ್ಲ.

ಮೀಸಲಾದ ವಿಭಾಗ ಆ ದಾಟುಗಳನ್ನು ಗೋಚರವಾಗಿಸುತ್ತದೆ, ಆದರೆ ವಿಭಾಗದ ಹೆಸರು ಏನನ್ನೂ ಜಾರಿಗೊಳಿಸುವುದಿಲ್ಲ. ಸಂಚಾರ ನೀವು ಭಾವಿಸುವ ನಿಯಂತ್ರಣದ ಮೂಲಕವೇ ಹಾದುಹೋಗಬೇಕು. ಪಾಲುದಾರರಿಂದ ಸಂಪರ್ಕವನ್ನು ಒಪ್ಪುವುದು ಪಾಲುದಾರರ ಬಳಿಯ ಪ್ರತಿ ಯಂತ್ರವೂ ವಿಶ್ವಾಸಾರ್ಹ ಎಂಬ ಹೇಳಿಕೆಯೂ ಅಲ್ಲ.

ಎರಡನೇ ದ್ವಾರ: HSM ಮುಂದೆ ನಿಜವಾಗಿ ಯಾವುದು ದೃಢೀಕರಿಸುತ್ತದೆ

VPN ಗುರುತು ಮತ್ತು HSM ಗುರುತು ಬೇರೆ ಬೇರೆ ವಸ್ತುಗಳು, ಬೆಂಬಲಿತ ಸಂಯೋಜನೆ ಅವನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಸೇರಿಸದಿದ್ದರೆ. PKCS#11 ಕ್ಲೈಂಟ್ನೊಂದಿಗೆ, ಅಪ್ಲಿಕೇಶನ್ ಪಾಲುದಾರರ ಹೋಸ್ಟ್ನಲ್ಲಿ ಎಲ್ಲೋ ಸಂಗ್ರಹಿಸಿದ ರುಜುವಾತಿನೊಂದಿಗೆ ಸ್ಲಾಟ್ಗೆ ಲಾಗಿನ್ ಆಗುತ್ತದೆ, ಮತ್ತು HSM ಮೌಲ್ಯಮಾಪನ ಮಾಡುವುದು ಆ ಲಾಗಿನ್ ಅನ್ನೇ.

AWS CloudHSM ಉಪಯುಕ್ತ ಉಲ್ಲೇಖ ಏಕೆಂದರೆ ಅದರ ದಾಖಲೆಗಳು ಎರಡನ್ನೂ ಬೇರೆಯಾಗಿ ಇಡುತ್ತವೆ: HSM ಬಳಕೆದಾರರು IAM ಬಳಕೆದಾರರಿಗಿಂತ ಭಿನ್ನ, ಮತ್ತು ಬಳಕೆದಾರ ಪ್ರಕಾರ ಖಾತೆ ಏನು ಮಾಡಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ. ಕ್ರಿಪ್ಟೋ ಅಧಿಕಾರಿ ಬಳಕೆದಾರರು ಮತ್ತು ಕೀಲಿಗಳನ್ನು ನಿರ್ವಹಿಸುತ್ತಾರೆ ಆದರೆ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ಮಾಡುವ ಗುರುತು ಅವರಲ್ಲ, ಆದರೆ ಕ್ರಿಪ್ಟೋ ಬಳಕೆದಾರರು ಕೀಲಿಗಳನ್ನು ನಿರ್ವಹಿಸಲಾಗದಿದ್ದರೂ ಅವನ್ನು ಬಳಸಬಹುದು. ಆ ವಿಭಜನೆಯೇ ಬೇರೆ ಪೂರೈಕೆದಾರರ ಸಾಧನದಲ್ಲೂ ನೀವು ಬಯಸುವ ಆಕಾರ, ಅಲ್ಲಿ ಪಾತ್ರಗಳ ಹೆಸರುಗಳು ಭಿನ್ನವಾಗಿರುತ್ತವೆ.

ನೀವು ನೀಡುವ ಯಾವುದೇ ಗುರುತು ನಂತರ ನಿಮಗೆ ಬೇಕಾಗುವ ಸೂಕ್ಷ್ಮತೆಯಲ್ಲಿ ತೆಗೆದುಹಾಕಬಹುದಾದ ಮತ್ತು ಆರೋಪಿಸಬಹುದಾದದ್ದಾಗಿರಬೇಕು. ಹಲವು ಪಾಲುದಾರರಲ್ಲಿ ಒಂದೇ ಹಂಚಿದ ಕಾರ್ಯಾಚರಣಾ ರುಜುವಾತು ಎರಡೂ ಅತ್ಯಂತ ಮುಖ್ಯವಾಗುವ ಘಟನೆಯಲ್ಲೇ ನಿರ್ಬಂಧ ಮತ್ತು ಹೊಣೆಗಾರಿಕೆಯನ್ನು ಕಷ್ಟಕರಗೊಳಿಸುತ್ತದೆ.

ಮೂರನೇ ದ್ವಾರ: ಯಾವ ಕೀಲಿ, ಮತ್ತು ಯಾವ ಕಾರ್ಯಾಚರಣೆ

ಸಹಿ, ಡೀಕ್ರಿಪ್ಷನ್, ಕೀಲಿ ಉತ್ಪಾದನೆ, ಕೀಲಿ ಸುತ್ತುವಿಕೆ ಮತ್ತು ಬಳಕೆದಾರ ನಿರ್ವಹಣೆ ಬೇರೆ ಬೇರೆ ಅನುಮತಿಗಳು ಮತ್ತು ಅವನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪಟ್ಟಿ ಮಾಡಬೇಕು. PKCS#11 ಪದಗಳಲ್ಲಿ, CKA_SENSITIVE ಮತ್ತು CKA_EXTRACTABLE ನಂತಹ ಗುಣಲಕ್ಷಣಗಳು ಕೀಲಿ ಸಾಮಗ್ರಿ ಬಳಸಬಹುದಾದ ರೂಪದಲ್ಲಿ ಮಾಡ್ಯೂಲ್ನಿಂದ ಹೊರಹೋಗಬಹುದೇ ಎಂಬುದನ್ನು ವಿವರಿಸುತ್ತವೆ, ಮತ್ತು ಅವು ಸಾಧನಕ್ಕಲ್ಲ, ಪ್ರತಿ ಕೀಲಿಗೆ ಹೊಂದಿಸಲಾಗುತ್ತವೆ. ಹಾರ್ಡ್ವೇರ್ ಎಂಬ ಪದದಿಂದ ಅಥವಾ ಸುರಂಗದ ಇರುವಿಕೆಯಿಂದ ರಫ್ತು ಮಾಡಲಾಗದಿರುವಿಕೆಯನ್ನು ಊಹಿಸುವ ಬದಲು ಕೀಲಿಯ ಮೇಲಿನ ನಿಜವಾದ ನೀತಿಯನ್ನು ಓದಿ.

ನಂತರ ವ್ಯಾಪಾರ ಅನುಮೋದನೆಯನ್ನು ಹುಡುಕಿ. ಅನುಮೋದಿತ ದಾಖಲೆಗಳಿಗೆ ಮಾತ್ರ ಸಹಿ ಹಾಕಬಹುದಾದರೆ, ವಿನಂತಿ HSM ತಲುಪುವ ಮೊದಲು ಯಾವ ಘಟಕ ಆ ಅನುಮೋದನೆಯನ್ನು ಸ್ಥಾಪಿಸುತ್ತದೆ? ಅಧಿಕೃತ ವಿನಂತಿಯನ್ನು ಸ್ವೀಕರಿಸುವ ಕ್ರಿಪ್ಟೋಗ್ರಾಫಿಕ್ ಇಂಟರ್ಫೇಸ್ಗೆ ದಾಖಲೆ ಪರಿಶೀಲನೆಯಾಗಿದೆಯೇ ಎಂದು ತಿಳಿದಿಲ್ಲ, ಆದ್ದರಿಂದ ಆ ಪರಿಶೀಲನೆ ಅದರ ಮುಂದಿನ ಸೇವೆಗೆ ಸೇರಿದ್ದು.

ಅನುಮತಿಸಿದ ಕ್ಲೈಂಟ್ ಭೇದಿಸಲ್ಪಟ್ಟರೆ, ಅದರ ರುಜುವಾತು ಕಾನೂನುಬದ್ಧವಾಗಿ ಅಧಿಕಾರ ನೀಡುವ ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ಅದು ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಎಂದಿಗೂ ಹೊರತೆಗೆಯದೆ ದುರುಪಯೋಗಪಡಿಸಬಹುದು. ಆದ್ದರಿಂದ ಸಂಗ್ರಹಿತ ಕೀಲಿ ಸಾಮಗ್ರಿಯ ರಕ್ಷಣೆ ಮತ್ತು ಕೀಲಿ ಬಳಕೆಯ ನಿಯಂತ್ರಣ ಎರಡು ಸ್ವೀಕಾರ ಷರತ್ತುಗಳು, ಒಂದಲ್ಲ.

ನಿರಾಕರಣೆಗಳು ಸ್ವೀಕಾರ ಪರೀಕ್ಷೆಯ ಭಾಗ

ಅನುಮತಿಸಿದ ಸಹಿ ವಿನಂತಿಯನ್ನು ಸ್ವೀಕರಿಸಿ, ಮತ್ತು ನಿರಾಕರಣೆಗಳನ್ನೂ ಸ್ವೀಕರಿಸಿ: ಅನಧಿಕೃತ ಗುರುತು, ಸಂಬಂಧವಿಲ್ಲದ ಕೀಲಿ ಮತ್ತು ಪಾಲುದಾರರ ಮಾರ್ಗದಿಂದ ನಿರ್ವಹಣಾ ಕಾರ್ಯಾಚರಣೆ. ಕರೆದವರು, ಕಾರ್ಯಾಚರಣೆ, ಕೀಲಿ ಗುರುತಿಸುವಿಕೆ, ಸಮಯ ಮತ್ತು ಫಲಿತಾಂಶವನ್ನು ದಾಖಲಿಸಿ, ಮತ್ತು ಖಾಸಗಿ ಕೀಲಿ ಸಾಮಗ್ರಿ, ರುಜುವಾತುಗಳು ಹಾಗೂ ದಾಖಲೆಗಳ ವಿಷಯವನ್ನು ಸಾಮಾನ್ಯ ರೋಗನಿರ್ಣಯ ಲಾಗ್ಗಳಿಂದ ಹೊರಗಿಡಿ.

ಪಾಲುದಾರರ ನಿರ್ಗಮನ, ಪಾಲುದಾರರ ಕಡೆ ಶಂಕಿತ ಭೇದನ, ಮತ್ತು ನೀತಿ ಬದಲಾವಣೆ ಹಾಗೂ ಚೇತರಿಕೆಗೆ ಮಾಲೀಕರನ್ನು ನಿಗದಿಪಡಿಸಿ. ಮಾರ್ಗ ಬದಲಿಸುವುದು ಈಗಾಗಲೇ ಭೇದಿಸಲ್ಪಟ್ಟಿರಬಹುದಾದ ಹೋಸ್ಟ್ನಲ್ಲಿ ವಿಶ್ವಾಸವನ್ನು ಮರಳಿ ತರುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ರದ್ದತಿ HSM ಗುರುತನ್ನೂ ತಲುಪಬೇಕು.

ಪೂರ್ಣಗೊಂಡ VPN ಹ್ಯಾಂಡ್ಶೇಕ್ ಆ ದಾಖಲೆಗೆ ಸೇರುತ್ತದೆ. ಅದು HSM-ನಿರ್ದಿಷ್ಟ ಒಂದೇ ಫಲಿತಾಂಶದ ಬದಲಿಯಾಗಲಾರದು.