VPN을 통한 파트너의 HSM 접근: 키 작업을 정의하십시오

파트너 쪽의 누군가가 지정된 하나의 키로 문서에 서명해야 하는데, 요청은 'HSM에 도달해야 한다'는 네트워킹 문제로 들어옵니다. 장비에 도달하는 터널은 그 자체로 아무것도 허용하지 않으므로, 그 문장을 라우팅 문제가 아니라 정의되지 않은 서비스 계약의 증상으로 다루십시오. 요청 뒤에는 도달성, HSM 신원, 키 정책이라는 세 개의 관문이 있으며, 각각 다른 팀이 다른 곳에서 관리합니다. 하나씩 적어 두지 않으면, 인증서 이야기가 더 어려웠다는 이유로 경로를 허용하게 될 것입니다.

구체적인 사례란 파트너가 이름이 지정된 하나의 키로 서명하기 위해 승인된 문서만 제출하고 그 밖에는 아무것도 하지 않는 것입니다. 아래의 모든 내용은 그 한 문장에서 나옵니다.

도달성, 신원, 키 정책은 세 개의 관문입니다

VPN 컨센트레이터는 누가 터널을 열 수 있고 어떤 주소에 접촉할 수 있는지 결정합니다. HSM은 자신에게 제시된 사용자 레코드 중 어느 것이 로그인할 수 있는지 스스로 결정합니다. 그다음 키 정책이 그 사용자 레코드가 특정한 하나의 키로 무엇을 할 수 있는지 결정합니다. 첫 번째 관문을 통과해도 나머지 둘은 그대로이므로, 성공한 핸드셰이크가 그렇게 적은 것을 증명하며 파트너가 장비에 도달하고도 모든 작업에서 실패할 수 있습니다.

요구 사항을 쓰기 전에 각 관문에 소유자를 지정하십시오. 두 번째 관문에 소유자가 없으면, 작동하는 유일한 자격 증명이라는 이유로 광범위한 HSM 관리자 신원이 부여되는 것이 보통입니다.

첫 번째 관문: 파트너에게 주어지는 네트워크 경로

승인된 클라이언트나 서비스, 그것이 필요로 하는 목적지, 그리고 그 서비스가 수신하는 프로토콜과 포트를 지목하십시오. 그다음 VPN 쪽 접근을 그 쌍으로 양방향 제한하고 반환 경로도 포함하면, 정책은 파트너에게 다시 읽어 줄 수 있는 문장이 됩니다. 게이트웨이 관리, HSM 관리 인터페이스, 무관한 내부 시스템은 기본 경로 밖이 아니라 일반 파트너 접근 밖에 있어야 합니다.

전용 세그먼트는 그 횡단을 가시화하지만, 세그먼트의 이름은 아무것도 강제하지 않습니다. 트래픽은 당신이 생각하는 그 통제를 실제로 통과해야 합니다. 파트너로부터의 연결을 허용하는 것은 파트너의 모든 기계가 신뢰할 수 있다는 진술도 아닙니다.

두 번째 관문: HSM 앞에서 실제로 인증하는 것

VPN 신원과 HSM 신원은 지원되는 통합이 의도적으로 결합하지 않는 한 별개의 객체입니다. PKCS#11 클라이언트에서는 애플리케이션이 파트너 호스트 어딘가에 저장된 자격 증명으로 슬롯에 로그인하며, HSM이 평가하는 것은 바로 그 로그인입니다.

AWS CloudHSM은 HSM 사용자가 IAM 사용자와 별개이고 사용자 유형이 계정이 할 수 있는 일을 결정한다는 점을 문서에서 구분해 두므로 유용한 참조입니다. 암호 책임자는 사용자와 키를 관리하지만 암호화 작업을 수행하는 신원은 아니며, 암호 사용자는 키를 관리할 수 없더라도 키를 사용할 수 있습니다. 그 분리는 역할 이름이 달라질 다른 공급업체의 장비에서도 원하는 형태입니다.

어떤 신원을 발급하든 나중에 필요할 세밀도로 제거할 수 있고 귀속시킬 수 있어야 합니다. 여러 파트너에 걸친 하나의 공유 운영 자격 증명은 둘 다 가장 중요한 사고에서 격리와 책임을 더 어렵게 만듭니다.

세 번째 관문: 어느 키, 어느 작업

서명, 복호화, 키 생성, 키 래핑, 사용자 관리는 별개의 권한이며 별도로 나열해야 합니다. PKCS#11 용어로 CKA_SENSITIVE와 CKA_EXTRACTABLE 같은 속성은 키 자료가 사용 가능한 형태로 모듈을 떠날 수 있는지를 설명하며, 장비가 아니라 키마다 설정됩니다. 하드웨어라는 단어나 터널의 존재에서 내보낼 수 없음을 추론하지 말고 키에 실제로 설정된 정책을 읽으십시오.

그다음 비즈니스 승인을 찾으십시오. 승인된 문서만 서명할 수 있다면, 요청이 HSM에 도달하기 전에 어느 구성 요소가 그 승인을 확립합니까? 권한 있는 요청을 수락하는 암호 인터페이스는 문서가 검토되었는지 알지 못하므로, 그 확인은 그 앞의 서비스에 속합니다.

허용된 클라이언트가 침해되면 개인 키를 전혀 추출하지 않고도 자격 증명이 정당하게 승인하는 작업을 남용할 수 있습니다. 따라서 저장된 키 자료 보호와 키 사용 통제는 두 가지 수용 조건이며 하나가 아닙니다.

거부도 수용 테스트의 일부입니다

허용된 서명 요청과 함께 허가되지 않은 신원, 무관한 키, 파트너 경로에서 온 관리 작업 같은 거부도 수락하십시오. 호출자, 작업, 키 식별자, 시간, 결과를 기록하고 개인 키 자료, 자격 증명, 문서 내용은 일반 진단 로그 밖에 두십시오.

파트너 퇴출, 파트너 측 침해 의심, 정책 변경과 복구에 각각 소유자를 지정하십시오. 경로를 바꾼다고 이미 침해되었을 수 있는 호스트에 대한 신뢰가 회복되지 않으므로, 폐기는 HSM 신원에도 도달해야 합니다.

완료된 VPN 핸드셰이크는 그 기록에 속합니다. 그것은 HSM 특정 결과 하나를 대신할 수 없습니다.