VPN വഴി പങ്കാളിയുടെ HSM പ്രവേശനം: കീ പ്രവർത്തനങ്ങൾ നിർവചിക്കുക

പങ്കാളിയുടെ ഭാഗത്ത് ആരെങ്കിലും ഒരു നിർദ്ദിഷ്ട കീ ഉപയോഗിച്ച് രേഖയിൽ ഒപ്പിടണം, അപേക്ഷ നെറ്റ്വർക്കിംഗ് പ്രശ്നമായി വരുന്നു: അവർ HSM-ൽ എത്തണം. ആ വാക്യത്തെ റൂട്ടിംഗ് പ്രശ്നമായല്ല, നിർവചിക്കാത്ത സേവന കരാറിന്റെ ലക്ഷണമായി കാണുക, കാരണം ഉപകരണത്തിൽ എത്തുന്ന ടണൽ സ്വയം ഒന്നും നൽകുന്നില്ല. അപേക്ഷയുടെ പിന്നിൽ മൂന്ന് കവാടങ്ങളുണ്ട്: എത്തിച്ചേരൽ, HSM ഐഡന്റിറ്റി, കീ നയം, ഓരോന്നും വേറെ സ്ഥലത്ത് വേറെ ടീം കൈകാര്യം ചെയ്യുന്നു. അവ ഓരോന്നായി എഴുതുക, അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് സംഭാഷണം ബുദ്ധിമുട്ടായിരുന്നതിനാൽ നിങ്ങൾ ഒടുവിൽ ഒരു റൂട്ട് അനുവദിക്കും.

കൺക്രീറ്റ് കേസ് കണ്ണിൽ കാണുക: പങ്കാളി ഒരു പേരിട്ട കീ ഉപയോഗിച്ച് ഒപ്പിടാൻ അംഗീകരിച്ച രേഖ മാത്രം സമർപ്പിക്കുന്നു. താഴെയുള്ളതെല്ലാം ആ ഒരു വാക്യത്തിൽ നിന്നാണ് വരുന്നത്.

എത്തിച്ചേരൽ, ഐഡന്റിറ്റി, കീ നയം എന്നിവ മൂന്ന് കവാടങ്ങളാണ്

VPN കോൺസെൻട്രേറ്റർ ആർക്ക് ടണൽ തുറക്കാമെന്നും ഏത് വിലാസങ്ങളിൽ തൊടാമെന്നും തീരുമാനിക്കുന്നു. HSM തന്നിൽ അവതരിപ്പിക്കുന്ന ഏത് ഉപയോക്തൃ റെക്കോർഡിന് ലോഗിൻ ചെയ്യാമെന്ന് സ്വയം തീരുമാനിക്കുന്നു. പിന്നീട് കീ നയം ആ ഉപയോക്തൃ റെക്കോർഡിന് ഒരു നിർദ്ദിഷ്ട കീ ഉപയോഗിച്ച് എന്ത് ചെയ്യാമെന്ന് തീരുമാനിക്കുന്നു. ആദ്യ കവാടം കടന്നാൽ ബാക്കിയുള്ള രണ്ടും ഉണ്ടായിരുന്നതുപോലെ തന്നെ തുടരും, അതുകൊണ്ടാണ് വിജയകരമായ ഹാൻഡ്ഷേക്ക് വളരെ കുറച്ച് തെളിയിക്കുന്നതും പങ്കാളിക്ക് ഉപകരണത്തിൽ എത്തിയിട്ടും ഓരോ പ്രവർത്തനത്തിലും പരാജയപ്പെടാനാകുന്നതും.

ആവശ്യകതകൾ എഴുതുന്നതിന് മുമ്പ് ഓരോ കവാടത്തിനും ഉടമയെ നിശ്ചയിക്കുക. രണ്ടാമത്തേതിന് ഉടമയില്ലാത്തപ്പോൾ സാധാരണ ഫലം, പ്രവർത്തിക്കുന്ന ഏക ക്രെഡൻഷ്യൽ അതുമാത്രമായതിനാൽ വിശാലമായ HSM അഡ്മിനിസ്ട്രേറ്റർ ഐഡന്റിറ്റി നൽകുന്നതാണ്.

ആദ്യ കവാടം: പങ്കാളിക്ക് നൽകുന്ന നെറ്റ്വർക്ക് പാത

അംഗീകരിച്ച ക്ലയന്റ് അല്ലെങ്കിൽ സേവനം, അതിന് ആവശ്യമായ ലക്ഷ്യസ്ഥാനം, ആ സേവനം കേൾക്കുന്ന പ്രോട്ടോക്കോളും പോർട്ടും എന്നിവ പേരിടുക. തുടർന്ന് VPN ഭാഗത്തുനിന്നുള്ള പ്രവേശനം ആ ജോടിയിലേക്ക് ഇരു ദിശകളിലും പരിമിതപ്പെടുത്തുക, തിരിച്ചുവരവ് പാതയും ഉൾപ്പെടെ, അപ്പോൾ നയം പങ്കാളിയെ വായിച്ചുകേൾപ്പിക്കാവുന്ന ഒരു വാക്യമാകും. ഗേറ്റ്വേ അഡ്മിനിസ്ട്രേഷൻ, HSM മാനേജ്മെന്റ് ഇന്റർഫേസുകൾ, ബന്ധമില്ലാത്ത ആന്തരിക സംവിധാനങ്ങൾ എന്നിവ സാധാരണ പങ്കാളി പ്രവേശനത്തിന് പുറത്തായിരിക്കണം, സ്ഥിരസ്ഥിതി റൂട്ടിന് പുറത്ത് മാത്രമല്ല.

സമർപ്പിത സെഗ്മെന്റ് ആ കടന്നുപോകലുകൾ ദൃശ്യമാക്കുന്നു, പക്ഷേ സെഗ്മെന്റിന്റെ പേര് ഒന്നും നടപ്പാക്കുന്നില്ല. ട്രാഫിക് നിങ്ങൾ കരുതുന്ന നിയന്ത്രണത്തിലൂടെ കടന്നുപോകണം. പങ്കാളിയിൽ നിന്നുള്ള കണക്ഷൻ സ്വീകരിക്കുന്നത് പങ്കാളിയിലെ ഓരോ മെഷീനും വിശ്വസനീയമാണെന്ന പ്രസ്താവനയുമല്ല.

രണ്ടാം കവാടം: HSM-ന്റെ മുന്നിൽ യഥാർത്ഥത്തിൽ എന്താണ് പ്രാമാണീകരിക്കുന്നത്

VPN ഐഡന്റിറ്റിയും HSM ഐഡന്റിറ്റിയും പിന്തുണയുള്ള സംയോജനം ബോധപൂർവം ബന്ധിപ്പിക്കുന്നില്ലെങ്കിൽ വേറിട്ട വസ്തുക്കളാണ്. PKCS#11 ക്ലയന്റിൽ, പങ്കാളിയുടെ ഹോസ്റ്റിൽ എവിടെയോ സൂക്ഷിച്ച ക്രെഡൻഷ്യൽ ഉപയോഗിച്ച് അപ്ലിക്കേഷൻ ഒരു സ്ലോട്ടിലേക്ക് ലോഗിൻ ചെയ്യുന്നു, HSM വിലയിരുത്തുന്നത് ആ ലോഗിനാണ്.

AWS CloudHSM ഉപയോഗപ്രദമായ ഒരു റഫറൻസാണ്, കാരണം അതിന്റെ ഡോക്യുമെന്റേഷൻ രണ്ടും വേർതിരിച്ച് നിർത്തുന്നു: HSM ഉപയോക്താക്കൾ IAM ഉപയോക്താക്കളിൽ നിന്ന് വ്യത്യസ്തരാണ്, ഉപയോക്തൃ തരം അക്കൗണ്ടിന് എന്ത് ചെയ്യാമെന്ന് നിർണ്ണയിക്കുന്നു. ക്രിപ്റ്റോ ഓഫീസർ ഉപയോക്താക്കളെയും കീകളെയും നിയന്ത്രിക്കുന്നു, പക്ഷേ ക്രിപ്റ്റോഗ്രാഫിക് പ്രവർത്തനങ്ങൾ ചെയ്യുന്ന ഐഡന്റിറ്റിയല്ല, അതേസമയം ക്രിപ്റ്റോ ഉപയോക്താവിന് കീകൾ നിയന്ത്രിക്കാനാകാതെ അവ ഉപയോഗിക്കാം. ആ വിഭജനമാണ് റോൾ നാമങ്ങൾ വ്യത്യസ്തമാകുന്ന മറ്റൊരു വെണ്ടറുടെ ഉപകരണത്തിലും നിങ്ങൾ ആഗ്രഹിക്കുന്ന രൂപം.

നിങ്ങൾ നൽകുന്ന ഏത് ഐഡന്റിറ്റിയും പിന്നീട് ആവശ്യമാകുന്ന സൂക്ഷ്മതയിൽ നീക്കാനും ആരോപിക്കാനും കഴിയേണ്ടതാണ്. പല പങ്കാളികളിലായി ഒരു പങ്കിട്ട പ്രവർത്തന ക്രെഡൻഷ്യൽ രണ്ടും ഏറ്റവും പ്രധാനമാകുന്ന സംഭവത്തിൽ തന്നെ നിയന്ത്രണവും ഉത്തരവാദിത്തവും ബുദ്ധിമുട്ടാക്കുന്നു.

മൂന്നാം കവാടം: ഏത് കീ, ഏത് പ്രവർത്തനം

ഒപ്പിടൽ, ഡീക്രിപ്ഷൻ, കീ നിർമ്മാണം, കീ റാപ്പിംഗ്, ഉപയോക്തൃ അഡ്മിനിസ്ട്രേഷൻ എന്നിവ വേറിട്ട അനുമതികളാണ്, അവ വെവ്വേറെ രേഖപ്പെടുത്തണം. PKCS#11 പദങ്ങളിൽ, CKA_SENSITIVE, CKA_EXTRACTABLE പോലുള്ള ഗുണങ്ങൾ കീ മെറ്റീരിയലിന് ഉപയോഗയോഗ്യമായ രൂപത്തിൽ മൊഡ്യൂളിൽ നിന്ന് പുറത്തുപോകാമോ എന്ന് വിവരിക്കുന്നു, അവ ഉപകരണത്തിനല്ല, ഓരോ കീയ്ക്കും സജ്ജീകരിക്കുന്നു. ഹാർഡ്വെയർ എന്ന വാക്കിൽ നിന്നോ ടണലിന്റെ സാന്നിധ്യത്തിൽ നിന്നോ കയറ്റുമതി ചെയ്യാനാകില്ലെന്ന് അനുമാനിക്കുന്നതിന് പകരം കീയിലെ യഥാർത്ഥ നയം വായിക്കുക.

തുടർന്ന് ബിസിനസ് അംഗീകാരം കണ്ടെത്തുക. അംഗീകരിച്ച രേഖകൾക്ക് മാത്രം ഒപ്പിടാമെങ്കിൽ, അപേക്ഷ HSM-ൽ എത്തുന്നതിന് മുമ്പ് ഏത് ഘടകമാണ് ആ അംഗീകാരം സ്ഥാപിക്കുന്നത്? അധികാരമുള്ള അപേക്ഷ സ്വീകരിക്കുന്ന ക്രിപ്റ്റോഗ്രാഫിക് ഇന്റർഫേസിന് രേഖ പരിശോധിച്ചോ എന്ന് അറിയില്ല, അതിനാൽ ആ പരിശോധന അതിന് മുന്നിലുള്ള സേവനത്തിന്റേതാണ്.

അനുവദിച്ച ക്ലയന്റ് വിട്ടുവീഴ്ച ചെയ്യപ്പെട്ടാൽ, അതിന്റെ ക്രെഡൻഷ്യൽ നിയമപരമായി അധികാരപ്പെടുത്തുന്ന പ്രവർത്തനങ്ങൾ സ്വകാര്യ കീ ഒരിക്കലും പുറത്തെടുക്കാതെ അതിന് ദുരുപയോഗം ചെയ്യാനാകും. അതിനാൽ സൂക്ഷിച്ച കീ മെറ്റീരിയലിന്റെ സംരക്ഷണവും കീ ഉപയോഗത്തിന്റെ നിയന്ത്രണവും രണ്ട് സ്വീകാര്യതാ വ്യവസ്ഥകളാണ്, ഒന്നല്ല.

നിരസിക്കലുകൾ സ്വീകാര്യതാ പരിശോധനയുടെ ഭാഗമാണ്

അനുവദിച്ച ഒപ്പ് അപേക്ഷ സ്വീകരിക്കുക, നിരസിക്കലുകളും സ്വീകരിക്കുക: അനധികൃത ഐഡന്റിറ്റി, ബന്ധമില്ലാത്ത കീ, പങ്കാളിയുടെ പാതയിൽ നിന്നുള്ള മാനേജ്മെന്റ് പ്രവർത്തനം. വിളിച്ചയാളെ, പ്രവർത്തനം, കീ ഐഡന്റിഫയർ, സമയം, ഫലം എന്നിവ രേഖപ്പെടുത്തുക, സ്വകാര്യ കീ മെറ്റീരിയൽ, ക്രെഡൻഷ്യലുകൾ, രേഖകളുടെ ഉള്ളടക്കം എന്നിവ പൊതു ഡയഗ്നോസ്റ്റിക് ലോഗുകൾക്ക് പുറത്ത് സൂക്ഷിക്കുക.

പങ്കാളിയുടെ പുറത്തുപോകൽ, പങ്കാളിയുടെ ഭാഗത്ത് സംശയിക്കുന്ന വിട്ടുവീഴ്ച, നയ മാറ്റങ്ങൾ, വീണ്ടെടുപ്പ് എന്നിവയ്ക്ക് ഉടമയെ നിശ്ചയിക്കുക. റൂട്ട് മാറ്റുന്നത് ഇതിനകം വിട്ടുവീഴ്ച ചെയ്തിരിക്കാവുന്ന ഹോസ്റ്റിലുള്ള വിശ്വാസം വീണ്ടെടുക്കുന്നില്ല, അതിനാൽ റദ്ദാക്കൽ HSM ഐഡന്റിറ്റിയിലും എത്തണം.

പൂർത്തിയായ VPN ഹാൻഡ്ഷേക്ക് ആ രേഖയിൽ ഉൾപ്പെടുന്നു. അത് HSM-നിഷ്ഠമായ ഒരു ഫലത്തിന് പകരമാകാനാവില്ല.