Partnera piekļuve HSM caur VPN: definējiet atslēgu darbības

Kādam partnera pusē ir jāparaksta dokuments ar vienu norādītu atslēgu, un pieprasījums nāk kā tīkla jautājums: viņiem jāsasniedz HSM. Uzskatiet šo teikumu par nenodefinēta pakalpojuma līguma simptomu, nevis maršrutēšanas problēmu, jo tunelis, kas sasniedz ierīci, pats par sevi neko nedod. Aiz pieprasījuma ir trīs vārti: sasniedzamība, HSM identitāte un atslēgu politika, un katrus no tiem citā vietā pārvalda cita komanda. Pierakstiet tos pa vienam, citādi beigās piešķirsiet maršrutu, jo saruna par sertifikātu bija grūtāka.

Turiet acu priekšā konkrēto gadījumu: partneris iesniedz apstiprinātu dokumentu parakstīšanai ar vienu nosauktu atslēgu, un neko citu. Viss turpmāk izriet no šī viena teikuma.

Sasniedzamība, identitāte un atslēgu politika ir trīs vārti

VPN koncentrators izlemj, kas drīkst atvērt tuneli un kurām adresēm drīkst pieskarties. HSM pats izlemj, kurš tam uzrādītais lietotāja ieraksts drīkst pieteikties. Pēc tam atslēgu politika izlemj, ko šis lietotāja ieraksts drīkst darīt ar vienu konkrētu atslēgu. Izejot pirmos vārtus, pārējie divi paliek tieši tādi, kādi bija, tāpēc veiksmīgs rokasspiediens pierāda tik maz un tāpēc partneris var sasniegt ierīci un tomēr izgāzties katrā darbībā.

Pirms prasību rakstīšanas katriem vārtiem nozīmējiet īpašnieku. Ja otrajiem nav īpašnieka, parastais iznākums ir tāds, ka tiek izsniegta plaša HSM administratora identitāte, jo tā ir vienīgā derīgā pieteikšanās informācija.

Pirmie vārti: tīkla ceļš, kas tiek dots partnerim

Nosauciet apstiprināto klientu vai pakalpojumu, tam nepieciešamo galamērķi un protokolu un portu, kuros šis pakalpojums klausās. Pēc tam ierobežojiet piekļuvi no VPN puses uz šo pāri abos virzienos, ieskaitot atgriešanās ceļu, lai politika būtu teikums, ko varat partnerim nolasīt. Vārtejas administrēšanai, HSM pārvaldības saskarnēm un nesaistītām iekšējām sistēmām jāatrodas ārpus parastās partnera piekļuves, ne tikai ārpus noklusējuma maršruta.

Veltīts segments padara šos šķērsojumus redzamus, bet segmenta nosaukums neko neīsteno. Plūsmai jāiet caur to kontroli, caur kuru, jūsuprāt, tā iet. Savienojuma no partnera pieņemšana arī nav apgalvojums, ka katra mašīna pie partnera ir uzticama.

Otrie vārti: kas patiesībā autentificējas pret HSM

VPN identitāte un HSM identitāte ir atsevišķi objekti, ja vien atbalstīta integrācija tos apzināti nesavieno. Ar PKCS#11 klientu lietojumprogramma piesakās slotā ar akreditācijas datiem, kas glabājas kaut kur partnera resursdatorā, un tieši šo pieteikšanos HSM izvērtē.

AWS CloudHSM ir noderīga atsauce, jo tās dokumentācija abus tur atsevišķi: HSM lietotāji atšķiras no IAM lietotājiem, un lietotāja tips nosaka, ko konts drīkst darīt. Kripto virsnieks pārvalda lietotājus un atslēgas, bet nav identitāte, kas veic kriptogrāfiskās darbības, savukārt kripto lietotājs var lietot atslēgas, nespējot tās pārvaldīt. Šis sadalījums ir forma, ko vēlaties arī cita piegādātāja ierīcē, kur lomu nosaukumi atšķirsies.

Kādu identitāti jūs izsniegtu, tai jābūt noņemamai un attiecināmai tādā detalizācijā, kāda jums vēlāk būs vajadzīga. Vieni koplietoti operatīvie akreditācijas dati vairākiem partneriem apgrūtina ierobežošanu un atbildību tieši tajā incidentā, kur abi ir vissvarīgākie.

Trešie vārti: kura atslēga un kura darbība

Parakstīšana, atšifrēšana, atslēgu ģenerēšana, atslēgu ietīšana un lietotāju administrēšana ir atsevišķas atļaujas, un tās jānorāda atsevišķi. PKCS#11 izteiksmē atribūti, piemēram, CKA_SENSITIVE un CKA_EXTRACTABLE, apraksta, vai atslēgas materiāls var atstāt moduli lietojamā formā, un tie tiek iestatīti katrai atslēgai, nevis ierīcei. Lasiet faktisko politiku uz atslēgas, nevis spriediet par neeksportējamību no vārda aparatūra vai no tuneļa klātbūtnes.

Pēc tam atrodiet biznesa apstiprinājumu. Ja parakstīt drīkst tikai apstiprinātus dokumentus, kurš komponents nosaka šo apstiprinājumu pirms pieprasījuma nonākšanas HSM? Kriptogrāfiskā saskarne, kas pieņem autorizētu pieprasījumu, nezina, vai dokuments tika pārskatīts, tāpēc šī pārbaude pieder pakalpojumam tās priekšā.

Atļauts klients, kas ir kompromitēts, var arī ļaunprātīgi izmantot darbības, ko tā akreditācijas dati likumīgi atļauj, nekad neizgūstot privāto atslēgu. Tāpēc glabātā atslēgas materiāla aizsardzība un atslēgu lietošanas kontrole ir divi pieņemšanas nosacījumi, nevis viens.

Atteikumi ir pieņemšanas testa daļa

Pieņemiet atļauto parakstīšanas pieprasījumu un pieņemiet arī atteikumus: neautorizētu identitāti, nesaistītu atslēgu un pārvaldības darbību no partnera ceļa. Reģistrējiet zvanītāju, darbību, atslēgas identifikatoru, laiku un iznākumu, un turiet privāto atslēgas materiālu, akreditācijas datus un dokumentu saturu ārpus vispārējiem diagnostikas žurnāliem.

Nozīmējiet īpašnieku partnera iziešanai, aizdomām par kompromitāciju partnera pusē un politikas izmaiņām un atkopšanai. Maršruta maiņa neatjauno uzticēšanos resursdatoram, kas jau var būt kompromitēts, tāpēc atsaukšanai jāsasniedz arī HSM identitāte.

Pabeigts VPN rokasspiediens pieder šim ierakstam. Tas nevar aizstāt nevienu HSM specifisku rezultātu.