Aċċess tal-Imsieħeb għall-HSM permezz ta' VPN: Iddefinixxi l-Operazzjonijiet tal-Kjavi

Xi ħadd fil-imsieħeb irid jiffirma dokument b'ċavetta waħda magħżula, u t-talba tasal ifformulata bħala kwistjoni tan-netwerk: iridu jilħqu l-HSM. Itratta dik il-frażi bħala sintomu ta' kuntratt tas-servizz mhux definit, mhux problema ta' routing, għax mina li tilħaq l-apparat ma tagħti xejn waħedha. Wara t-talba hemm tliet bibien: aċċessibilità, identità tal-HSM u politika tal-kjavi, u kull wieħed jiġi amministrat f'post differenti minn tim differenti. Iktebhom wieħed wieħed, inkella fl-aħħar tagħti rotta għax id-diskussjoni dwar iċ-ċertifikat kienet aktar diffiċli.

Żomm il-każ konkret quddiem għajnejk: l-imsieħeb jissottometti dokument approvat għall-firma b'ċavetta waħda msemmija, u xejn aktar. Kollox hawn taħt joħroġ minn dik il-frażi waħda.

Aċċessibilità, identità u politika tal-kjavi huma tliet bibien

Il-konċentratur VPN jiddeċiedi min jista' jiftaħ mina u liema indirizzi jista' jmiss. L-HSM jiddeċiedi waħdu liema rekord tal-utent ippreżentat quddiemu jista' jidħol. Imbagħad il-politika tal-kjavi tiddeċiedi x'jista' jagħmel dak ir-rekord tal-utent b'ċavetta waħda speċifika. Il-qsim tal-ewwel bieb iħalli t-tnejn l-oħra eżattament kif kienu, għalhekk handshake li rnexxa jipprova tant ftit u għalhekk imsieħeb jista' jilħaq l-apparat u xorta jonqos f'kull operazzjoni.

Assenja sid lil kull bieb qabel ma tikteb ir-rekwiżiti. Meta ħadd ma jkollu t-tieni wieħed, ir-riżultat tas-soltu hu li tiġi mogħtija identità wiesgħa ta' amministratur tal-HSM għax dik hija l-unika kredenzjali li taħdem.

L-ewwel bieb: il-passaġġ tan-netwerk li jingħata lill-imsieħeb

Semmi l-klijent jew is-servizz approvat, id-destinazzjoni li jeħtieġ, u l-protokoll u l-port li fuqhom dak is-servizz jisma'. Imbagħad illimita l-aċċess min-naħa tal-VPN għal dik il-par fiż-żewġ direzzjonijiet, inkluż il-passaġġ tar-ritorn, sabiex il-politika tkun frażi li tista' taqra lura lill-imsieħeb. L-amministrazzjoni tal-gateway, l-interfaċċi tal-maniġment tal-HSM u s-sistemi interni mhux relatati għandhom ikunu barra mill-aċċess ordinarju tal-imsieħeb, mhux biss barra mir-rotta default.

Segment iddedikat jagħmel dawk il-qsimiet viżibbli, iżda l-isem ta' segment ma jinfurzax xejn. It-traffiku jrid jgħaddi mill-kontroll li taħseb li jgħaddi minnu. Li tammetti konnessjoni mill-imsieħeb mhuwiex ukoll stqarrija li kull magna għand l-imsieħeb hija affidabbli.

It-tieni bieb: x'inhu li verament jawtentika ruħu mal-HSM

Identità VPN u identità HSM huma oġġetti separati sakemm integrazzjoni appoġġata ma tgħaqqadhomx apposta. B'klijent PKCS#11, l-applikazzjoni tagħmel login ma' slot b'kredenzjali maħżuna x'imkien fuq il-host tal-imsieħeb, u dak il-login huwa dak li tevalwa l-HSM.

AWS CloudHSM hija referenza utli għax id-dokumentazzjoni tagħha żżomm it-tnejn separati: l-utenti tal-HSM huma distinti mill-utenti IAM, u t-tip ta' utent jirregola x'jista' jagħmel il-kont. Uffiċjal tal-kripto jimmaniġġja utenti u ċwievet iżda mhuwiex l-identità li twettaq operazzjonijiet kriptografiċi, filwaqt li utent tal-kripto jista' juża ċwievet mingħajr ma jkun jista' jimmaniġġjahom. Dik il-qasma hija l-forma li trid anki fuq apparat ta' fornitur ieħor, fejn l-ismijiet tar-rwoli se jkunu differenti.

Kwalunkwe identità li toħroġ trid tkun tista' titneħħa u tiġi attribwita bid-dettall li se jkollok bżonn aktar tard. Kredenzjali operattiva waħda maqsuma bejn diversi msieħba tagħmel il-konteniment u r-responsabbiltà aktar diffiċli eżattament fl-inċident fejn it-tnejn jgħoddu l-aktar.

It-tielet bieb: liema ċavetta, u liema operazzjoni

Firma, deċifrar, ġenerazzjoni ta' ċwievet, tgeżwir ta' ċwievet u amministrazzjoni tal-utenti huma permessi separati u għandhom jiġu elenkati separatament. F'termini PKCS#11, attributi bħal CKA_SENSITIVE u CKA_EXTRACTABLE jiddeskrivu jekk il-materjal taċ-ċavetta jistax joħroġ mill-modulu f'forma użabbli, u huma stabbiliti għal kull ċavetta mhux għal kull apparat. Aqra l-politika attwali fuq iċ-ċavetta minflok tiddeduċi n-nuqqas ta' esportabilità mill-kelma hardware jew mill-preżenza ta' mina.

Imbagħad sib l-approvazzjoni tan-negozju. Jekk jistgħu jiġu ffirmati biss dokumenti approvati, liema komponent jistabbilixxi dik l-approvazzjoni qabel ma t-talba tilħaq l-HSM? Interfaċċja kriptografika li taċċetta talba awtorizzata m'għandhiex idea jekk id-dokument ġiex rivedut, għalhekk dik il-verifika tappartjeni lis-servizz quddiemha.

Klijent permess li jkun ikkompromess jista' wkoll juża ħażin l-operazzjonijiet li l-kredenzjali tiegħu jawtorizza b'mod leġittimu mingħajr qatt ma jiġbed ċavetta privata. Għalhekk il-protezzjoni tal-materjal taċ-ċavetta maħżun u l-kontroll tal-użu taċ-ċwievet huma żewġ kundizzjonijiet ta' aċċettazzjoni, mhux waħda.

Ir-rifjuti huma parti mit-test ta' aċċettazzjoni

Aċċetta t-talba tal-firma permessa, u aċċetta wkoll ir-rifjuti: identità mhux awtorizzata, ċavetta mhux relatata u operazzjoni ta' maniġment mill-passaġġ tal-imsieħeb. Irrekordja min qed isejjaħ, l-operazzjoni, l-identifikatur taċ-ċavetta, il-ħin u r-riżultat, u żomm materjal ta' ċavetta privata, kredenzjali u kontenut ta' dokumenti barra mil-logs dijanjostiċi ġenerali.

Assenja sid għall-ħruġ tal-imsieħeb, għal kompromess suspettat fuq in-naħa tal-imsieħeb, u għal bidliet fil-politika u rkupru. Li tbiddel rotta ma terġax tagħti fiduċja f'host li jista' jkun diġà kompromess, għalhekk ir-revoka trid tilħaq ukoll l-identità tal-HSM.

Handshake VPN komplut jappartjeni għal dak ir-rekord. Ma jistax jieħu post riżultat wieħed speċifiku għall-HSM.