Түншийн VPN-ээр дамжуулан HSM-д хандах: түлхүүрийн үйлдлүүдийг тодорхойл

Түншийн талд хэн нэгэн нэг томилогдсон түлхүүрээр баримт бичигт гарын үсэг зурах ёстой бөгөөд хүсэлт сүлжээний асуудал хэлбэрээр ирдэг: тэд HSM-д хүрэх хэрэгтэй. Тэр өгүүлбэрийг тодорхойгүй үйлчилгээний гэрээний шинж гэж үз, чиглүүлэлтийн асуудал гэж биш, учир нь төхөөрөмжид хүрдэг туннель өөрөө юу ч өгөхгүй. Хүсэлтийн ард гурван хаалга байна: хүртээмж, HSM-ийн таних тэмдэг, түлхүүрийн бодлого, мөн тус бүрийг өөр газар өөр баг удирддаг. Тэдгээрийг нэг нэгээр нь бич, эс бөгөөс гэрчилгээний тухай яриа хүнд байсан учраас эцэст нь маршрут олгох болно.

Тодорхой тохиолдлыг нүдэн дээрээ байлга: түнш нэг нэрлэсэн түлхүүрээр гарын үсэг зурах зөвшөөрөгдсөн баримт бичгийг л илгээдэг, өөр юу ч биш. Доорх бүхэн тэр нэг өгүүлбэрээс гардаг.

Хүртээмж, таних тэмдэг, түлхүүрийн бодлого гэсэн гурван хаалга

VPN төвлөрүүлэгч хэн туннель нээж болох, ямар хаягт хүрч болохыг шийддэг. HSM өөрт нь танилцуулсан аль хэрэглэгчийн бичлэг нэвтэрч болохыг өөрөө шийддэг. Дараа нь түлхүүрийн бодлого тэр хэрэглэгчийн бичлэг нэг тодорхой түлхүүрээр юу хийж болохыг шийддэг. Эхний хаалгыг давсан нь бусад хоёрыг яг байсан хэвээр үлдээдэг, тиймээс амжилттай гар барилт маш бага зүйлийг нотолж, түнш төхөөрөмжид хүрсэн ч үйлдэл бүрд бүтэлгүйтэж болно.

Шаардлага бичихээс өмнө хаалга бүрд эзэмшигчийг томил. Хоёр дахь хаалга эзэмшигчгүй үед ердийн үр дүн нь өргөн HSM администраторын таних тэмдэг олгогдох бөгөөд учир нь тэр л ажилладаг цорын ганц итгэмжлэл.

Эхний хаалга: түншдээ өгөх сүлжээний зам

Зөвшөөрөгдсөн клиент эсвэл үйлчилгээ, түүнд хэрэгтэй очих газар, мөн тэр үйлчилгээ сонсдог протокол, портыг нэрлэ. Дараа нь VPN талаас хандалтыг тэр хосоор хоёр чиглэлд хязгаарла, буцах замыг оруулаад, ингэснээр бодлого нь түншдээ дахин уншиж өгч болох өгүүлбэр болно. Гарцын удирдлага, HSM-ийн удирдлагын интерфэйс, холбоогүй дотоод системүүд энгийн түншийн хандалтаас гадна байх ёстой, зөвхөн өгөгдмөл маршрутаас гадна биш.

Тусгай сегмент тэдгээр гатлалтыг харагдахуйц болгодог ч сегментийн нэр юу ч хэрэгжүүлдэггүй. Хөдөлгөөн таны бодож байгаа хяналтаар дамжих ёстой. Түншээс холболт хүлээн авах нь түншийн бүх машин итгэмжлэгдсэн гэсэн мэдэгдэл ч биш.

Хоёр дахь хаалга: HSM-ийн өмнө юу үнэхээр баталгааждаг

VPN-ийн таних тэмдэг болон HSM-ийн таних тэмдэг нь дэмжигдсэн интеграц санаатайгаар нэгтгэхгүй л бол тусдаа объектууд юм. PKCS#11 клиентээр аппликейшн түншийн хостоос хаа нэгтээ хадгалсан итгэмжлэлээр слот руу нэвтэрдэг бөгөөд HSM яг тэр нэвтрэлтийг үнэлдэг.

AWS CloudHSM нь ашигтай жишиг, учир нь түүний баримт бичиг хоёрыг тусдаа байлгадаг: HSM-ийн хэрэглэгчид IAM-ийн хэрэглэгчдээс ялгаатай, мөн хэрэглэгчийн төрөл бүртгэл юу хийж болохыг тодорхойлдог. Крипто ажилтан хэрэглэгч, түлхүүрүүдийг удирддаг ч криптограф үйлдэл хийдэг таних тэмдэг нь биш, харин крипто хэрэглэгч түлхүүрүүдийг удирдаж чадахгүй ч ашиглаж чадна. Тэр хуваалт нь өөр нийлүүлэгчийн төхөөрөмж дээр ч таны хүсэх хэлбэр бөгөөд тэнд үүргийн нэрс өөр байх болно.

Ямар ч таних тэмдэг олгосон, тэр нь дараа танд хэрэгтэй нарийвчлалаар устгагдах, оноогдох боломжтой байх ёстой. Хэд хэдэн түншэд нэг хуваалцсан үйл ажиллагааны итгэмжлэл нь хоёулаа хамгийн чухал байдаг осолд тусгаарлалт, хариуцлагыг хүндрүүлдэг.

Гурав дахь хаалга: аль түлхүүр, аль үйлдэл

Гарын үсэг зурах, тайлбарлах, түлхүүр үүсгэх, түлхүүр боох, хэрэглэгчийн удирдлага нь тусдаа зөвшөөрөл бөгөөд тусдаа жагсаах ёстой. PKCS#11 нэр томьёогоор CKA_SENSITIVE, CKA_EXTRACTABLE зэрэг шинж чанарууд түлхүүрийн материал модулиас ашиглаж болох хэлбэрээр гарч болох эсэхийг тодорхойлдог бөгөөд тэдгээрийг төхөөрөмжөөр биш, түлхүүр тус бүрээр тохируулдаг. Аппарат гэдэг үг эсвэл туннелийн оршихуйгаас экспортлох боломжгүй гэж дүгнэхийн оронд түлхүүр дээрх бодит бодлогыг унш.

Дараа нь бизнесийн баталгаажуулалтыг ол. Зөвхөн батлагдсан баримт бичигт гарын үсэг зурж болдог бол хүсэлт HSM-д хүрэхээс өмнө аль бүрэлдэхүүн тэр баталгаажуулалтыг тогтоодог вэ? Эрх бүхий хүсэлтийг хүлээн авдаг криптограф интерфэйс баримт бичиг хянагдсан эсэхийг мэдэхгүй, тиймээс тэр шалгалт түүний өмнөх үйлчилгээнд хамаарна.

Зөвшөөрөгдсөн клиент эвдэрсэн тохиолдолд хувийн түлхүүрийг хэзээ ч гаргахгүйгээр итгэмжлэл нь хууль ёсоор зөвшөөрдөг үйлдлүүдийг буруугаар ашиглаж болно. Тиймээс хадгалсан түлхүүрийн материалыг хамгаалах, түлхүүрийн ашиглалтыг хянах нь хоёр хүлээн авах нөхцөл, нэг биш.

Татгалзууд нь хүлээн авах шалгалтын хэсэг

Зөвшөөрөгдсөн гарын үсгийн хүсэлтийг хүлээн ав, татгалзуудыг ч хүлээн ав: эрхгүй таних тэмдэг, холбоогүй түлхүүр, түншийн замаас ирсэн удирдлагын үйлдэл. Дуудагчийг, үйлдлийг, түлхүүрийн танигчийг, цаг, үр дүнг бүртгэ, хувийн түлхүүрийн материал, итгэмжлэл, баримт бичгийн агуулгыг ерөнхий оношилгооны бүртгэлээс гадна байлга.

Түншийн гарах, түншийн талд сэжигтэй эвдрэл, мөн бодлогын өөрчлөлт, сэргээлтэд эзэмшигчийг томил. Маршрутыг өөрчлөх нь аль хэдийн эвдэрсэн байж болох хостод итгэлийг сэргээхгүй, тиймээс хүчингүй болгох нь HSM-ийн таних тэмдэгт хүрэх ёстой.

Дууссан VPN гар барилт тэр бүртгэлд хамаарна. Энэ нь HSM-д хамаарах нэг ч үр дүнг орлож чадахгүй.