Partner-HSM-Zougrëff iwwer eng VPN: d'Schlësseloperatiounen definéieren

Iergendeen beim Partner muss en Dokument mat engem bestëmmten Schlëssel ënnerschreiwen, an d'Ufro kënnt als Netzwierkfro: si mussen den HSM erreechen. Betruecht dëse Saz als Symptom vun engem ondefinéierte Servicekontrakt an net als Routingproblem, well en Tunnel, deen d'Appareil erreecht, fir sech selwer näischt gëtt. Hannert der Ufro stinn dräi Paarten: Erreechbarkeet, HSM-Identitéit a Schlësselpolitik, an all gëtt op enger anerer Plaz vun engem aneren Team verwalt. Schreift se een nom aneren op, soss gitt Dir am End eng Route, well d'Gespréich iwwer den Zertifikat méi schwéier war.

Halt de konkrete Fall am Bléck: de Partner reecht en approuvéiert Dokument fir d'Ënnerschrëft mat engem genannte Schlëssel an, an näischt anescht. Alles hei drënner kënnt aus dësem eenzegen Saz.

Erreechbarkeet, Identitéit a Schlësselpolitik sinn dräi Paarten

Den VPN-Konzentrator entscheet, wien en Tunnel opmaache kann a wéi eng Adressen hie beréiere kann. Den HSM entscheet selwer, wéi eng Benotzeropzeechnung, déi him presentéiert gëtt, sech alogge kann. D'Schlësselpolitik entscheet dann, wat déi Benotzeropzeechnung mat engem spezifesche Schlëssel maache kann. Duerch d'éischt Paart ze goen, léisst déi aner zwee genee sou wéi se waren, dofir beweist en erfollegräichen Handshake sou wéineg an dofir kann e Partner d'Appareil erreechen an trotzdem an all Operatioun versoen.

Maacht all Paart engem Propriétaire ze, ier Dir Ufuerderungen schreift. Wann keen den zweete besëtzt, ass d'üüblech Resultat, datt eng breet HSM-Administrateuridentitéit ausgëtt, well dat déi eenzeg Umeldungsinformatioun ass, déi funktionéiert.

Éischt Paart: de Netzwierkpad, deen de Partner kritt

Nennt den approuvéierte Client oder Service, den Zil deen e brauch, an de Protokoll an de Port op deenen dee Service lauschtert. Dann limitéiert den Zougrëff vun der VPN-Säit op dëse Puer a béid Richtungen, inklusiv de Retourpad, sou datt d'Politik en Saz ass, deen Dir dem Partner kënnt virliesen. Gateway-Administratioun, HSM-Management-Interfacen an onverbonnen intern Systemer sollten ausserhalb vum normale Partnerzougrëff stoen, net nëmmen ausserhalb vun der Standardroute.

En dedizéierte Segment mécht déi Iwwergäng sichtbar, awer den Numm vun engem Segment setzt näischt duerch. Den Traffic muss duerch d'Kontroll goen, vun där Dir mengt, datt e geet. Eng Verbindung vum Partner unzehuelen ass och keng Ausso, datt all Maschinn beim Partner vertrauenswierdeg ass.

Zweet Paart: wat sech tatsächlech beim HSM authentifizéiert

Eng VPN-Identitéit an eng HSM-Identitéit sinn getrennt Objeten, ausser eng ënnerstëtzt Integratioun verbënnt se bewosst. Mat engem PKCS#11-Client mécht d'Applikatioun eng Umeldung géint e Slot mat enger Umeldungsinformatioun, déi irgendwou um Host vum Partner gespäichert ass, an déi Umeldung ass et, déi den HSM bewäert.

AWS CloudHSM ass eng nëtzlech Referenz, well seng Dokumentatioun déi zwee getrennt hält: HSM-Benotzer ënnerscheede sech vun IAM-Benotzer, an den Benotzertyp bestëmmt, wat de Kont maache kann. E Krypto-Offizéier verwalt Benotzer a Schlësselen, awer ass net d'Identitéit, déi kryptografesch Operatioune mécht, wärend e Krypto-Benotzer Schlësselen notze kann, ouni se verwalten ze kënnen. Dee Splitt ass d'Form, déi Dir och op engem Appareil vun engem aneren Hiersteller wëllt, wou d'Rollennimm anescht sinn.

Wéi eng Identitéit Dir och ausgitt, si muss op där Granularitéit ewechgeholl a zougerechent kënne ginn, déi Dir spéider braucht. Eng gedeelt operationell Umeldungsinformatioun iwwer méi Partner mécht d'Andämmung an d'Rechenschaft just an deem Incident méi schwéier, wou béid am wichtegsten sinn.

Drëtt Paart: wéi ee Schlëssel, a wéi eng Operatioun

Ënnerschreiwen, Entschlësselen, Schlësselgeneratioun, Schlësselverpackung a Benotzerverwaltung sinn getrennt Berechtegungen a mussen eenzel opgezielt ginn. A PKCS#11-Termini beschreiwen Attributer wéi CKA_SENSITIVE an CKA_EXTRACTABLE, ob Schlësselmaterial de Modul an enger notzbarer Form verloosse kann, an se ginn pro Schlëssel an net pro Appareil gesat. Liest d'aktuell Politik um Schlëssel, amplaz d'Net-Exportierbarkeet aus dem Wuert Hardware oder aus der Präsenz vun engem Tunnel ofzeleeden.

Da fannt d'Geschäftsapprouvatioun. Wa nëmmen approuvéiert Dokumenter däerfe ënnerschriwwe ginn, wéi eng Komponent setzt déi Approuvatioun fest, ier d'Ufro den HSM erreecht? E kryptografeschen Interface, deen eng autoriséiert Ufro unhëlt, huet keng Ahnung, ob d'Dokument iwwerpréift gouf, dofir gehéiert déi Kontroll zum Service virun him.

En erlaabte Client, deen kompromittéiert ass, kann och d'Operatiounen mëssbrauchen, déi seng Umeldungsinformatioun rechtméisseg autoriséiert, ouni jeemools e private Schlëssel ze extrahéieren. De Schutz vu gespäichertem Schlësselmaterial an d'Kontroll vun der Schlësselnotzung sinn dofir zwee Akzeptanzbedingungen, net eng.

Oflehnungen sinn Deel vum Akzeptanztest

Akzeptéiert déi erlaabt Ënnerschrëftufro, an akzeptéiert och d'Oflehnungen: eng onautoriséiert Identitéit, e onverbonne Schlëssel an eng Managementoperatioun vum Partner sengem Pad. Hält de Urheber, d'Operatioun, de Schlësselidentifikator, d'Zäit an d'Resultat fest, a hält private Schlësselmaterial, Umeldungsinformatiounen an Dokumentinhalter aus allgemenge Diagnoseloggen eraus.

Gitt en Propriétaire fir de Partner-Offboarding, fir e vermeete Kompromiss op der Partnersäit, a fir Politikännerungen a Recuperatioun. Eng Route z'änneren stellt d'Vertrauen an en Host net erëm hier, deen schonn kompromittéiert ka sinn, dofir muss d'Widerruffung och d'HSM-Identitéit erreechen.

En ofgeschlossenen VPN-Handshake gehéiert an dee Rekord. En kann net eng eenzeg HSM-spezifesch Resultat ersetzen.