Partnerio prieiga prie HSM per VPN: apibrėžkite raktų operacijas

Kažkas partnerio pusėje turi pasirašyti dokumentą vienu paskirtu raktu, o užklausa ateina kaip tinklo klausimas: jiems reikia pasiekti HSM. Tą sakinį traktuokite kaip neapibrėžtos paslaugos sutarties simptomą, o ne maršrutizavimo problemą, nes tunelis, pasiekiantis įrenginį, pats savaime nieko neduoda. Už užklausos stovi trys vartai: pasiekiamumas, HSM tapatybė ir raktų politika, ir kiekvienus jų skirtingoje vietoje administruoja skirtinga komanda. Užsirašykite juos po vieną, kitaip galiausiai suteiksite maršrutą, nes pokalbis apie sertifikatą buvo sunkesnis.

Laikykite prieš akis konkretų atvejį: partneris pateikia patvirtintą dokumentą pasirašyti vienu įvardytu raktu, ir nieko daugiau. Viskas, kas žemiau, kyla iš to vieno sakinio.

Pasiekiamumas, tapatybė ir raktų politika yra trys vartai

VPN koncentratorius nusprendžia, kas gali atidaryti tunelį ir kurių adresų gali liesti. HSM pats nusprendžia, kuris jam pateiktas vartotojo įrašas gali prisijungti. Tada raktų politika nusprendžia, ką tas vartotojo įrašas gali daryti su vienu konkrečiu raktu. Praėjus pirmus vartus, kiti du lieka lygiai tokie, kokie buvo, todėl sėkmingas rankos paspaudimas įrodo taip mažai ir todėl partneris gali pasiekti įrenginį ir vis tiek nepavykti kiekvienoje operacijoje.

Prieš rašydami reikalavimus, kiekvienus vartus priskyrkite savininkui. Kai antrųjų niekas neturi, įprasta baigtis yra ta, kad išduodama plati HSM administratoriaus tapatybė, nes tai vienintelis veikiantis prisijungimo duomuo.

Pirmi vartai: tinklo kelias, kuris duodamas partneriui

Įvardykite patvirtintą klientą ar paslaugą, jai reikalingą paskirties vietą ir protokolą bei prievadą, kuriuose ta paslauga klausosi. Tada apribokite prieigą iš VPN pusės iki tos poros abiem kryptimis, įskaitant grįžimo kelią, kad politika būtų sakinys, kurį galite perskaityti partneriui. Tinklų sietuvo administravimas, HSM valdymo sąsajos ir nesusijusios vidinės sistemos turėtų būti už įprastos partnerio prieigos ribų, o ne tik už numatytojo maršruto.

Atskiras segmentas padaro tuos perėjimus matomus, bet segmento pavadinimas nieko neįgyvendina. Srautas turi praeiti per tą kontrolę, per kurią, jūsų manymu, jis eina. Ryšio iš partnerio priėmimas taip pat nėra teiginys, kad kiekviena partnerio mašina yra patikima.

Antri vartai: kas iš tikrųjų autentifikuojasi prieš HSM

VPN tapatybė ir HSM tapatybė yra atskiri objektai, nebent palaikoma integracija juos sąmoningai sujungia. Su PKCS#11 klientu programa prisijungia prie lizdo su įgaliojimais, saugomais kažkur partnerio pagrindiniame kompiuteryje, ir būtent tą prisijungimą HSM įvertina.

AWS CloudHSM yra naudinga nuoroda, nes jos dokumentacija laiko abu atskirai: HSM vartotojai skiriasi nuo IAM vartotojų, o vartotojo tipas lemia, ką paskyra gali daryti. Kripto pareigūnas valdo vartotojus ir raktus, bet nėra tapatybė, kuri atlieka kriptografines operacijas, o kripto vartotojas gali naudoti raktus negalėdamas jų valdyti. Tas atskyrimas yra forma, kurios norite net kito tiekėjo įrenginyje, kur vaidmenų pavadinimai skirsis.

Kokią tapatybę išduotumėte, ji turi būti pašalinama ir priskiriama tokiu detalumu, kokio jums vėliau prireiks. Vieni bendri operaciniai įgaliojimai keliems partneriams apsunkina izoliavimą ir atskaitomybę būtent tame incidente, kai abu svarbiausi.

Treti vartai: kuris raktas ir kuri operacija

Pasirašymas, iššifravimas, raktų generavimas, raktų įvyniojimas ir vartotojų administravimas yra atskiri leidimai ir turi būti išvardyti atskirai. PKCS#11 terminais atributai, tokie kaip CKA_SENSITIVE ir CKA_EXTRACTABLE, apibūdina, ar raktų medžiaga gali palikti modulį naudojama forma, ir jie nustatomi kiekvienam raktui, o ne įrenginiui. Skaitykite tikrąją rakte esančią politiką, o ne spręskite apie neeksportuojamumą iš žodžio aparatinė įranga arba iš tunelio buvimo.

Tada suraskite verslo patvirtinimą. Jei pasirašyti galima tik patvirtintus dokumentus, kuris komponentas nustato tą patvirtinimą prieš užklausai pasiekiant HSM? Kriptografinė sąsaja, priimanti įgaliotą užklausą, neturi supratimo, ar dokumentas buvo peržiūrėtas, todėl ta patikra priklauso priešais ją esančiai paslaugai.

Leidžiamas klientas, kuris buvo pažeistas, taip pat gali piktnaudžiauti operacijomis, kurias jo įgaliojimai teisėtai leidžia, niekada neišgaudamas privataus rakto. Todėl saugomos raktų medžiagos apsauga ir raktų naudojimo kontrolė yra dvi priėmimo sąlygos, o ne viena.

Atsisakymai yra priėmimo testo dalis

Priimkite leidžiamą pasirašymo užklausą ir priimkite atsisakymus: neįgaliotą tapatybę, nesusijusį raktą ir valdymo operaciją iš partnerio kelio. Užrašykite skambintoją, operaciją, rakto identifikatorių, laiką ir rezultatą, o privačią raktų medžiagą, įgaliojimus ir dokumentų turinį laikykite už bendrų diagnostikos žurnalų.

Paskirkite savininką partnerio išėjimui, įtariamam pažeidimui partnerio pusėje bei politikos pakeitimams ir atkūrimui. Maršruto pakeitimas neatkuria pasitikėjimo pagrindiniu kompiuteriu, kuris jau gali būti pažeistas, todėl atšaukimas turi pasiekti ir HSM tapatybę.

Užbaigtas VPN rankos paspaudimas priklauso tam įrašui. Jis negali atstoti nė vieno HSM specifinio rezultato.