Өнөктөштүн VPN аркылуу HSMге кирүүсү: ачкыч операцияларын аныктаңыз

Өнөктөштүн жагында бирөө белгиленген бир ачкыч менен документке кол коюшу керек, ал эми суроо тармак маселеси катары келет: алар HSMге жетүүсү керек. Бул сүйлөмдү маршруттоо маселеси эмес, аныкталбаган кызмат келишиминин белгиси деп караңыз, анткени түзмөккө жеткен туннель өзү эч нерсе бербейт. Суроонун артында үч дарбаза бар: жетүү мүмкүнчүлүгү, HSM инсандыгы жана ачкыч саясаты, жана ар бирин башка жерде башка топ башкарат. Аларды бир-бирден жазып чыгыңыз, болбосо сертификат тууралуу сүйлөшүү кыйыныраак болгондуктан, акырында маршрут берип коёсуз.

Так учурду эсиңизде кармаңыз: өнөктөш кол коюу үчүн бекитилген документти бир аталган ачкыч менен берет, башка эч нерсе жок. Төмөнкүнүн баары ушул бир сүйлөмдөн келип чыгат.

Жетүү мүмкүнчүлүгү, инсандык жана ачкыч саясаты — үч дарбаза

VPN концентратору ким туннель ача аларын жана кайсы даректерге тийе аларын чечет. HSM өзүнүн алдына коюлган кайсы колдонуучу жазуусу кире аларын өзү чечет. Андан кийин ачкыч саясаты ошол колдонуучу жазуусу бир конкреттүү ачкыч менен эмне кыла аларын чечет. Биринчи дарбазадан өтүү калган экөөнү так ошондой калтырат, ошондуктан ийгиликтүү кол алышуу ушунча азды далилдейт жана өнөктөш түзмөккө жетип да, ар бир операцияда ийгиликсиз болушу мүмкүн.

Талаптарды жазганга чейин ар бир дарбазага ээсин дайындаңыз. Экинчисинин ээси жок болсо, адаттагы натыйжа — кең HSM администраторунун инсандыгы берилет, анткени ал жалгыз иштеген каттоо маалыматы.

Биринчи дарбаза: өнөктөшкө берилүүчү тармак жолу

Бекитилген кардарды же кызматты, ага керектүү барар жерди, жана ошол кызмат угуучу протокол менен портту атаңыз. Андан кийин VPN тараптан кирүүнү ошол жупка эки багытта чектеңиз, кайтуу жолун кошкондо, ошондо саясат өнөктөшкө кайра окуп бере турган сүйлөм болот. Шлюз администрациясы, HSM башкаруу интерфейстери жана тиешеси жок ички системалар кадимки өнөктөш кирүүсүнөн тышкары турушу керек, демейки маршруттан тышкары гана эмес.

Атайын сегмент ошол өтмөлөрдү көрүнүктүү кылат, бирок сегменттин аталышы эч нерсени таңуулабайт. Трафик сиз ойлогон көзөмөл аркылуу өтүшү керек. Өнөктөштөн байланышты кабыл алуу өнөктөштөгү ар бир машина ишенимдүү деген билдирүү да эмес.

Экинчи дарбаза: HSMдин алдында чындыгында эмне аутентификацияланат

VPN инсандыгы менен HSM инсандыгы — колдоого алынган интеграция аларды атайын бириктирбейинче, өзүнчө объектилер. PKCS#11 кардары менен колдонмо өнөктөштүн хостунда бир жерде сакталган каттоо маалыматы менен слотко кирет, жана HSM так ушул кирүүнү баалайт.

AWS CloudHSM пайдалуу үлгү, анткени анын документтери экөөнү өзүнчө кармайт: HSM колдонуучулары IAM колдонуучуларынан өзгөчө, жана колдонуучу түрү каттоо эсеби эмне кыла аларын аныктайт. Крипто кызматкери колдонуучуларды жана ачкычтарды башкарат, бирок криптографиялык операцияларды аткарган инсандык эмес, ал эми крипто колдонуучу ачкычтарды башкара албаса да колдоно алат. Ошол бөлүнүү — ролдордун аталыштары башкача боло турган башка жеткирүүчүнүн түзмөгүндө да сиз каалаган форма.

Кандай инсандык берсеңиз да, ал кийин керек боло турган деталдуулукта жоюлушу жана таандык болушу керек. Бир нече өнөктөшкө жалпы бир операциялык каттоо маалыматы экөө тең эң маанилүү болгон окуяда бөлүп-жактоону жана жоопкерчиликти кыйындатат.

Үчүнчү дарбаза: кайсы ачкыч жана кайсы операция

Кол коюу, чечмелөө, ачкыч жасоо, ачкычты ороп-чоптоо жана колдонуучуларды башкаруу — өзүнчө уруксаттар жана аларды өзүнчө тизмелөө керек. PKCS#11 терминдеринде CKA_SENSITIVE жана CKA_EXTRACTABLE сыяктуу атрибуттар ачкыч материалы модулдан колдонууга жарактуу формада чыга аларын сүрөттөйт, жана алар түзмөккө эмес, ар бир ачкычка орнотулат. Аппарат деген сөздөн же туннелдин болушунан экспорттолбой турганын божомолдоонун ордуна, ачкычтагы чыныгы саясатты окуңуз.

Андан кийин ишкердик бекитүүнү табыңыз. Эгер бекитилген документтерге гана кол коюуга болсо, суроо HSMге жетпей туруп кайсы компонент ошол бекитүүнү белгилейт? Ыйгарылган суроону кабыл алган криптографиялык интерфейс документ каралганын билбейт, ошондуктан бул текшерүү анын алдындагы кызматка таандык.

Уруксат берилген кардар бузулса, ал өзүнүн каттоо маалыматы мыйзамдуу түрдө ыйгарган операцияларды жеке ачкычты эч качан чыгарбастан эле терс пайдалана алат. Ошондуктан сакталган ачкыч материалын коргоо жана ачкычты колдонууну көзөмөлдөө — эки кабыл алуу шарты, бир эмес.

Баш тартуулар кабыл алуу сынагынын бөлүгү

Уруксат берилген кол коюу суроосун кабыл алыңыз, жана баш тартууларды да кабыл алыңыз: уруксат берилбеген инсандык, тиешеси жок ачкыч жана өнөктөштүн жолунан келген башкаруу операциясы. Чалуучуну, операцияны, ачкыч идентификаторун, убакытты жана жыйынтыкты жазыңыз, ал эми жеке ачкыч материалын, каттоо маалыматтарын жана документтердин мазмунун жалпы диагностикалык журналдардан тышкары кармаңыз.

Өнөктөштүн чыгышына, өнөктөштүн жагында бузулуу шегине, ошондой эле саясат өзгөрүүлөрү менен калыбына келтирүүгө ээсин дайындаңыз. Маршрутту өзгөртүү мурун эле бузулган болушу мүмкүн болгон хостко ишенимди калыбына келтирбейт, ошондуктан артка кайтарып алуу HSM инсандыгына да жетүүсү керек.

Бүткөн VPN кол алышуусу ошол жазууга кирет. Ал HSMге таандык бир да жыйынтыктын ордун баса албайт.