VPN ਰਾਹੀਂ ਸਾਂਝੇਦਾਰ ਦੀ HSM ਪਹੁੰਚ: ਕੁੰਜੀ ਕਾਰਵਾਈਆਂ ਪਰਿਭਾਸ਼ਿਤ ਕਰੋ

ਸਾਂਝੇਦਾਰ ਕੋਲ ਕਿਸੇ ਨੇ ਇੱਕ ਨਿਰਧਾਰਤ ਕੁੰਜੀ ਨਾਲ ਦਸਤਾਵੇਜ਼ ਉੱਤੇ ਦਸਤਖ਼ਤ ਕਰਨੇ ਹਨ, ਅਤੇ ਬੇਨਤੀ ਨੈੱਟਵਰਕਿੰਗ ਵਜੋਂ ਆਉਂਦੀ ਹੈ: ਉਨ੍ਹਾਂ ਨੂੰ HSM ਤੱਕ ਪਹੁੰਚਣਾ ਹੈ। ਉਸ ਵਾਕ ਨੂੰ ਰੂਟਿੰਗ ਸਮੱਸਿਆ ਨਹੀਂ, ਸਗੋਂ ਅਣ-ਪਰਿਭਾਸ਼ਿਤ ਸੇਵਾ ਸਮਝੌਤੇ ਦਾ ਲੱਛਣ ਮੰਨੋ, ਕਿਉਂਕਿ ਯੰਤਰ ਤੱਕ ਪਹੁੰਚਣ ਵਾਲੀ ਸੁਰੰਗ ਆਪਣੇ ਆਪ ਕੁਝ ਨਹੀਂ ਦਿੰਦੀ। ਬੇਨਤੀ ਪਿੱਛੇ ਤਿੰਨ ਦਰਵਾਜ਼ੇ ਹਨ: ਪਹੁੰਚ, HSM ਪਛਾਣ ਅਤੇ ਕੁੰਜੀ ਨੀਤੀ, ਅਤੇ ਹਰ ਇੱਕ ਦਾ ਪ੍ਰਬੰਧ ਵੱਖਰੀ ਥਾਂ 'ਤੇ ਵੱਖਰੀ ਟੀਮ ਕਰਦੀ ਹੈ। ਉਨ੍ਹਾਂ ਨੂੰ ਇੱਕ-ਇੱਕ ਕਰਕੇ ਲਿਖੋ, ਨਹੀਂ ਤਾਂ ਤੁਸੀਂ ਅੰਤ ਵਿੱਚ ਮਾਰਗ ਦੇ ਦਿਓਗੇ ਕਿਉਂਕਿ ਸਰਟੀਫਿਕੇਟ ਦੀ ਗੱਲਬਾਤ ਵੱਧ ਔਖੀ ਸੀ।

ਠੋਸ ਮਾਮਲਾ ਸਾਹਮਣੇ ਰੱਖੋ: ਸਾਂਝੇਦਾਰ ਇੱਕ ਨਾਮਿਤ ਕੁੰਜੀ ਨਾਲ ਦਸਤਖ਼ਤ ਲਈ ਮਨਜ਼ੂਰ ਦਸਤਾਵੇਜ਼ ਪੇਸ਼ ਕਰਦਾ ਹੈ, ਹੋਰ ਕੁਝ ਨਹੀਂ। ਹੇਠਾਂ ਸਭ ਕੁਝ ਉਸੇ ਇੱਕ ਵਾਕ ਤੋਂ ਆਉਂਦਾ ਹੈ।

ਪਹੁੰਚ, ਪਛਾਣ ਅਤੇ ਕੁੰਜੀ ਨੀਤੀ ਤਿੰਨ ਦਰਵਾਜ਼ੇ ਹਨ

VPN ਕੇਂਦਰੀਕਰਤਾ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਕੌਣ ਸੁਰੰਗ ਖੋਲ੍ਹ ਸਕਦਾ ਹੈ ਅਤੇ ਕਿਹੜੇ ਪਤਿਆਂ ਨੂੰ ਛੂਹ ਸਕਦਾ ਹੈ। HSM ਆਪ ਹੀ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਉਸ ਸਾਹਮਣੇ ਪੇਸ਼ ਕੀਤਾ ਕਿਹੜਾ ਉਪਭੋਗਤਾ ਰਿਕਾਰਡ ਲੌਗਇਨ ਕਰ ਸਕਦਾ ਹੈ। ਫਿਰ ਕੁੰਜੀ ਨੀਤੀ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਉਹ ਉਪਭੋਗਤਾ ਰਿਕਾਰਡ ਇੱਕ ਖਾਸ ਕੁੰਜੀ ਨਾਲ ਕੀ ਕਰ ਸਕਦਾ ਹੈ। ਪਹਿਲਾ ਦਰਵਾਜ਼ਾ ਪਾਰ ਕਰਨ ਨਾਲ ਬਾਕੀ ਦੋ ਜਿਵੇਂ ਸਨ ਤਿਵੇਂ ਹੀ ਰਹਿੰਦੇ ਹਨ, ਇਸੇ ਲਈ ਸਫਲ ਹੈਂਡਸ਼ੇਕ ਬਹੁਤ ਘੱਟ ਸਾਬਤ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸੇ ਲਈ ਸਾਂਝੇਦਾਰ ਯੰਤਰ ਤੱਕ ਪਹੁੰਚ ਕੇ ਵੀ ਹਰ ਕਾਰਵਾਈ ਵਿੱਚ ਫੇਲ੍ਹ ਹੋ ਸਕਦਾ ਹੈ।

ਲੋੜਾਂ ਲਿਖਣ ਤੋਂ ਪਹਿਲਾਂ ਹਰ ਦਰਵਾਜ਼ੇ ਨੂੰ ਮਾਲਕ ਸੌਂਪੋ। ਜਦੋਂ ਦੂਜੇ ਦਾ ਕੋਈ ਮਾਲਕ ਨਹੀਂ ਹੁੰਦਾ, ਆਮ ਨਤੀਜਾ ਇਹ ਹੁੰਦਾ ਹੈ ਕਿ ਵਿਸ਼ਾਲ HSM ਪ੍ਰਬੰਧਕ ਪਛਾਣ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਕਿਉਂਕਿ ਉਹੀ ਇੱਕੋ-ਇੱਕ ਕੰਮ ਕਰਨ ਵਾਲਾ ਪ੍ਰਮਾਣ ਹੈ।

ਪਹਿਲਾ ਦਰਵਾਜ਼ਾ: ਸਾਂਝੇਦਾਰ ਨੂੰ ਦਿੱਤਾ ਜਾਣ ਵਾਲਾ ਨੈੱਟਵਰਕ ਮਾਰਗ

ਮਨਜ਼ੂਰ ਕਲਾਇੰਟ ਜਾਂ ਸੇਵਾ, ਉਸ ਨੂੰ ਲੋੜੀਂਦਾ ਟਿਕਾਣਾ, ਅਤੇ ਉਹ ਪ੍ਰੋਟੋਕੋਲ ਤੇ ਪੋਰਟ ਦੱਸੋ ਜਿਸ 'ਤੇ ਉਹ ਸੇਵਾ ਸੁਣਦੀ ਹੈ। ਫਿਰ VPN ਪਾਸਿਓਂ ਪਹੁੰਚ ਨੂੰ ਉਸੇ ਜੋੜੀ ਤੱਕ ਦੋਵੇਂ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚ ਸੀਮਤ ਕਰੋ, ਵਾਪਸੀ ਮਾਰਗ ਸਮੇਤ, ਤਾਂ ਜੋ ਨੀਤੀ ਇੱਕ ਵਾਕ ਬਣੇ ਜੋ ਤੁਸੀਂ ਸਾਂਝੇਦਾਰ ਨੂੰ ਪੜ੍ਹ ਕੇ ਸੁਣਾ ਸਕੋ। ਗੇਟਵੇ ਪ੍ਰਬੰਧਨ, HSM ਪ੍ਰਬੰਧਨ ਇੰਟਰਫ਼ੇਸ ਅਤੇ ਗੈਰ-ਸੰਬੰਧਿਤ ਅੰਦਰੂਨੀ ਸਿਸਟਮ ਆਮ ਸਾਂਝੇਦਾਰ ਪਹੁੰਚ ਤੋਂ ਬਾਹਰ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਸਿਰਫ਼ ਡਿਫ਼ਾਲਟ ਮਾਰਗ ਤੋਂ ਬਾਹਰ ਨਹੀਂ।

ਸਮਰਪਿਤ ਸੈਗਮੈਂਟ ਉਨ੍ਹਾਂ ਲੰਘਣਾਂ ਨੂੰ ਦਿਖਣਯੋਗ ਬਣਾਉਂਦਾ ਹੈ, ਪਰ ਸੈਗਮੈਂਟ ਦਾ ਨਾਮ ਕੁਝ ਵੀ ਲਾਗੂ ਨਹੀਂ ਕਰਦਾ। ਟ੍ਰੈਫ਼ਿਕ ਨੂੰ ਉਸੇ ਕੰਟਰੋਲ ਵਿੱਚੋਂ ਲੰਘਣਾ ਪਵੇਗਾ ਜਿਸ ਵਿੱਚੋਂ ਤੁਸੀਂ ਸੋਚਦੇ ਹੋ ਕਿ ਇਹ ਲੰਘਦਾ ਹੈ। ਸਾਂਝੇਦਾਰ ਤੋਂ ਕਨੈਕਸ਼ਨ ਸਵੀਕਾਰ ਕਰਨਾ ਇਹ ਬਿਆਨ ਵੀ ਨਹੀਂ ਹੈ ਕਿ ਸਾਂਝੇਦਾਰ ਕੋਲ ਹਰ ਮਸ਼ੀਨ ਭਰੋਸੇਯੋਗ ਹੈ।

ਦੂਜਾ ਦਰਵਾਜ਼ਾ: HSM ਸਾਹਮਣੇ ਅਸਲ ਵਿੱਚ ਕੀ ਪ੍ਰਮਾਣਿਤ ਹੁੰਦਾ ਹੈ

VPN ਪਛਾਣ ਅਤੇ HSM ਪਛਾਣ ਵੱਖਰੀਆਂ ਵਸਤੂਆਂ ਹਨ, ਜਦ ਤੱਕ ਕੋਈ ਸਮਰਥਿਤ ਏਕੀਕਰਨ ਉਨ੍ਹਾਂ ਨੂੰ ਜਾਣ-ਬੁੱਝ ਕੇ ਨਹੀਂ ਜੋੜਦਾ। PKCS#11 ਕਲਾਇੰਟ ਨਾਲ, ਐਪਲੀਕੇਸ਼ਨ ਸਾਂਝੇਦਾਰ ਦੇ ਹੋਸਟ 'ਤੇ ਕਿਤੇ ਸੰਭਾਲੇ ਪ੍ਰਮਾਣ ਨਾਲ ਸਲਾਟ ਵਿੱਚ ਲੌਗਇਨ ਕਰਦਾ ਹੈ, ਅਤੇ HSM ਉਸੇ ਲੌਗਇਨ ਦਾ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ।

AWS CloudHSM ਲਾਹੇਵੰਦ ਸੰਦਰਭ ਹੈ ਕਿਉਂਕਿ ਇਸ ਦੇ ਦਸਤਾਵੇਜ਼ ਦੋਵਾਂ ਨੂੰ ਵੱਖਰਾ ਰੱਖਦੇ ਹਨ: HSM ਉਪਭੋਗਤਾ IAM ਉਪਭੋਗਤਾਵਾਂ ਤੋਂ ਵੱਖਰੇ ਹਨ, ਅਤੇ ਉਪਭੋਗਤਾ ਕਿਸਮ ਤੈਅ ਕਰਦੀ ਹੈ ਕਿ ਖਾਤਾ ਕੀ ਕਰ ਸਕਦਾ ਹੈ। ਕ੍ਰਿਪਟੋ ਅਫ਼ਸਰ ਉਪਭੋਗਤਾਵਾਂ ਅਤੇ ਕੁੰਜੀਆਂ ਦਾ ਪ੍ਰਬੰਧ ਕਰਦਾ ਹੈ ਪਰ ਉਹ ਪਛਾਣ ਨਹੀਂ ਹੈ ਜੋ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫ਼ਿਕ ਕਾਰਵਾਈਆਂ ਕਰਦੀ ਹੈ, ਜਦਕਿ ਕ੍ਰਿਪਟੋ ਉਪਭੋਗਤਾ ਕੁੰਜੀਆਂ ਦਾ ਪ੍ਰਬੰਧ ਕੀਤੇ ਬਿਨਾਂ ਉਨ੍ਹਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦਾ ਹੈ। ਇਹ ਵੰਡ ਉਹੀ ਰੂਪ ਹੈ ਜੋ ਤੁਸੀਂ ਦੂਜੇ ਵਿਕਰੇਤਾ ਦੇ ਯੰਤਰ 'ਤੇ ਵੀ ਚਾਹੁੰਦੇ ਹੋ, ਜਿੱਥੇ ਭੂਮਿਕਾਵਾਂ ਦੇ ਨਾਮ ਵੱਖਰੇ ਹੋਣਗੇ।

ਤੁਸੀਂ ਜੋ ਵੀ ਪਛਾਣ ਜਾਰੀ ਕਰੋ, ਉਹ ਉਸ ਵੇਰਵੇ ਨਾਲ ਹਟਾਉਣਯੋਗ ਅਤੇ ਸੇਹਰਾ-ਯੋਗ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਅੱਗੇ ਲੋੜੀਂਦਾ ਹੋਵੇਗਾ। ਕਈ ਸਾਂਝੇਦਾਰਾਂ ਵਿੱਚ ਇੱਕ ਸਾਂਝਾ ਕਾਰਜ-ਪ੍ਰਮਾਣ ਨਿਯੰਤਰਣ ਅਤੇ ਜਵਾਬਦੇਹੀ ਠੀਕ ਉਸੇ ਘਟਨਾ ਵਿੱਚ ਔਖੀ ਬਣਾਉਂਦਾ ਹੈ ਜਿੱਥੇ ਦੋਵੇਂ ਸਭ ਤੋਂ ਵੱਧ ਮਾਇਨੇ ਰੱਖਦੇ ਹਨ।

ਤੀਜਾ ਦਰਵਾਜ਼ਾ: ਕਿਹੜੀ ਕੁੰਜੀ, ਅਤੇ ਕਿਹੜੀ ਕਾਰਵਾਈ

ਦਸਤਖ਼ਤ, ਡੀਕ੍ਰਿਪਸ਼ਨ, ਕੁੰਜੀ ਬਣਾਉਣਾ, ਕੁੰਜੀ ਲਪੇਟਣਾ ਅਤੇ ਉਪਭੋਗਤਾ ਪ੍ਰਬੰਧਨ ਵੱਖਰੀਆਂ ਇਜਾਜ਼ਤਾਂ ਹਨ ਅਤੇ ਇਨ੍ਹਾਂ ਨੂੰ ਵੱਖਰਾ ਸੂਚੀਬੱਧ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। PKCS#11 ਸ਼ਬਦਾਂ ਵਿੱਚ, CKA_SENSITIVE ਅਤੇ CKA_EXTRACTABLE ਵਰਗੇ ਗੁਣ ਦੱਸਦੇ ਹਨ ਕਿ ਕੁੰਜੀ ਸਮੱਗਰੀ ਵਰਤੋਂਯੋਗ ਰੂਪ ਵਿੱਚ ਮੌਡਿਊਲ ਤੋਂ ਬਾਹਰ ਜਾ ਸਕਦੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਇਹ ਯੰਤਰ ਪੱਖੋਂ ਨਹੀਂ ਸਗੋਂ ਹਰ ਕੁੰਜੀ ਪੱਖੋਂ ਸੈੱਟ ਹੁੰਦੇ ਹਨ। ਹਾਰਡਵੇਅਰ ਸ਼ਬਦ ਜਾਂ ਸੁਰੰਗ ਦੀ ਮੌਜੂਦਗੀ ਤੋਂ ਨਿਰਯਾਤ-ਅਸਮਰੱਥਾ ਦਾ ਅਨੁਮਾਨ ਲਾਉਣ ਦੀ ਥਾਂ ਕੁੰਜੀ 'ਤੇ ਅਸਲ ਨੀਤੀ ਪੜ੍ਹੋ।

ਫਿਰ ਕਾਰੋਬਾਰੀ ਮਨਜ਼ੂਰੀ ਲੱਭੋ। ਜੇ ਸਿਰਫ਼ ਮਨਜ਼ੂਰ ਦਸਤਾਵੇਜ਼ਾਂ 'ਤੇ ਹੀ ਦਸਤਖ਼ਤ ਹੋ ਸਕਦੇ ਹਨ, ਤਾਂ ਬੇਨਤੀ HSM ਤੱਕ ਪਹੁੰਚਣ ਤੋਂ ਪਹਿਲਾਂ ਕਿਹੜਾ ਹਿੱਸਾ ਉਹ ਮਨਜ਼ੂਰੀ ਸਥਾਪਿਤ ਕਰਦਾ ਹੈ? ਅਧਿਕਾਰਤ ਬੇਨਤੀ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫ਼ਿਕ ਇੰਟਰਫ਼ੇਸ ਨਹੀਂ ਜਾਣਦਾ ਕਿ ਦਸਤਾਵੇਜ਼ ਦੀ ਸਮੀਖਿਆ ਹੋਈ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਸ ਲਈ ਉਹ ਜਾਂਚ ਉਸ ਦੇ ਅੱਗੇ ਵਾਲੀ ਸੇਵਾ ਦੀ ਹੈ।

ਮਨਜ਼ੂਰ ਕਲਾਇੰਟ ਸਮਝੌਤੇ ਵਿੱਚ ਆ ਜਾਵੇ ਤਾਂ ਉਹ ਆਪਣੇ ਪ੍ਰਮਾਣ ਵੱਲੋਂ ਕਾਨੂੰਨੀ ਤੌਰ 'ਤੇ ਅਧਿਕਾਰਤ ਕਾਰਵਾਈਆਂ ਦਾ ਦੁਰਉਪਯੋਗ ਵੀ ਕਰ ਸਕਦਾ ਹੈ, ਨਿੱਜੀ ਕੁੰਜੀ ਕਦੇ ਵੀ ਕੱਢੇ ਬਿਨਾਂ। ਇਸ ਲਈ ਸੰਭਾਲੀ ਕੁੰਜੀ ਸਮੱਗਰੀ ਦੀ ਸੁਰੱਖਿਆ ਅਤੇ ਕੁੰਜੀ ਵਰਤੋਂ ਦਾ ਨਿਯੰਤਰਣ ਦੋ ਸਵੀਕ੍ਰਿਤੀ ਸ਼ਰਤਾਂ ਹਨ, ਇੱਕ ਨਹੀਂ।

ਇਨਕਾਰ ਸਵੀਕ੍ਰਿਤੀ ਪਰਖ ਦਾ ਹਿੱਸਾ ਹਨ

ਮਨਜ਼ੂਰ ਦਸਤਖ਼ਤ ਬੇਨਤੀ ਸਵੀਕਾਰ ਕਰੋ, ਅਤੇ ਇਨਕਾਰ ਵੀ ਸਵੀਕਾਰ ਕਰੋ: ਗੈਰ-ਅਧਿਕਾਰਤ ਪਛਾਣ, ਗੈਰ-ਸੰਬੰਧਿਤ ਕੁੰਜੀ ਅਤੇ ਸਾਂਝੇਦਾਰ ਦੇ ਮਾਰਗ ਤੋਂ ਪ੍ਰਬੰਧਨ ਕਾਰਵਾਈ। ਕਾਲ ਕਰਨ ਵਾਲਾ, ਕਾਰਵਾਈ, ਕੁੰਜੀ ਪਛਾਣਕਰਤਾ, ਸਮਾਂ ਅਤੇ ਨਤੀਜਾ ਦਰਜ ਕਰੋ, ਅਤੇ ਨਿੱਜੀ ਕੁੰਜੀ ਸਮੱਗਰੀ, ਪ੍ਰਮਾਣ ਅਤੇ ਦਸਤਾਵੇਜ਼ਾਂ ਦੀ ਸਮੱਗਰੀ ਆਮ ਨਿਦਾਨ ਲੌਗਾਂ ਤੋਂ ਬਾਹਰ ਰੱਖੋ।

ਸਾਂਝੇਦਾਰ ਦੇ ਬਾਹਰ ਨਿਕਲਣ, ਸਾਂਝੇਦਾਰ ਪਾਸੇ ਸ਼ੱਕੀ ਸਮਝੌਤੇ, ਅਤੇ ਨੀਤੀ ਬਦਲਾਅ ਤੇ ਮੁੜ-ਪ੍ਰਾਪਤੀ ਲਈ ਮਾਲਕ ਨਿਯੁਕਤ ਕਰੋ। ਮਾਰਗ ਬਦਲਣ ਨਾਲ ਪਹਿਲਾਂ ਹੀ ਸਮਝੌਤੇ ਵਿੱਚ ਆ ਚੁੱਕੇ ਹੋ ਸਕਦੇ ਹੋਸਟ 'ਤੇ ਭਰੋਸਾ ਵਾਪਸ ਨਹੀਂ ਆਉਂਦਾ, ਇਸ ਲਈ ਰੱਦ ਕਰਨਾ HSM ਪਛਾਣ ਤੱਕ ਵੀ ਪਹੁੰਚਣਾ ਚਾਹੀਦਾ ਹੈ।

ਪੂਰਾ ਹੋਇਆ VPN ਹੈਂਡਸ਼ੇਕ ਉਸੇ ਰਿਕਾਰਡ ਵਿੱਚ ਆਉਂਦਾ ਹੈ। ਇਹ HSM-ਖਾਸ ਇੱਕ ਵੀ ਨਤੀਜੇ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈ ਸਕਦਾ।