Pristup partnera HSM-u putem VPN-a: definirajte ključne operacije

Netko kod partnera mora potpisati dokument jednim određenim ključem, a zahtjev dolazi formuliran kao mrežni problem: moraju doći do HSM-a. Taj zahtjev shvatite kao simptom nedefiniranog ugovora o usluzi, a ne kao problem usmjeravanja, jer tunel koji stigne do uređaja sam po sebi ne daje ništa. Iza zahtjeva stoje tri vrata: dostupnost, identitet HSM-a i politika ključa, a svaka se njima upravlja na drugom mjestu i od druge ekipe. Zapišite ih jednu po jednu, inače ćete na kraju odobriti rutu jer je razgovor o certifikatu bio teži.

Držite konkretan slučaj na umu: partner predaje odobreni dokument na potpis jednim imenovanim ključem i ništa drugo. Sve niže proizlazi iz te jedne rečenice.

Dostupnost, identitet i politika ključa tri su vrata

VPN koncentrator odlučuje tko smije otvoriti tunel i koje adrese smije dodirivati. HSM sam odlučuje koji se zapis korisnika pred njim smije prijaviti. Politika ključa zatim odlučuje što taj zapis korisnika smije raditi s jednim određenim ključem. Prolazak kroz prva vrata ostavlja druga dva točno kakva su bila, zato uspješno rukovanje dokazuje tako malo i zato partner može doći do uređaja i ipak pasti na svakoj operaciji.

Dodijelite svaka vrata vlasniku prije pisanja zahtjeva. Kada druga vrata nemaju vlasnika, uobičajen ishod je da se dodijeli široki identitet HSM administratora jer je to jedina vjerodajnica koja radi.

Prva vrata: mrežni put koji partner dobiva

Navedite odobrenog klijenta ili uslugu, odredište koje mu treba te protokol i port na kojima ta usluga sluša. Zatim ograničite pristup s VPN strane na taj par u oba smjera, uključujući povratni put, tako da politika bude rečenica koju možete pročitati partneru. Administracija pristupnika, upravljačka sučelja HSM-a i nepovezani unutarnji sustavi trebaju stajati izvan uobičajenog partnerskog pristupa, a ne samo izvan zadane rute.

Namjenski segment čini te prijelaze vidljivima, ali naziv segmenta ništa ne provodi. Promet mora proći kroz kontrolu za koju mislite da prolazi. Prihvaćanje veze od partnera također nije tvrdnja da je svako računalo kod partnera pouzdano.

Druga vrata: što se zapravo autentificira prema HSM-u

VPN identitet i HSM identitet odvojeni su objekti osim ako ih podržana integracija namjerno spaja. S PKCS#11 klijentom aplikacija izvodi prijavu na utor s vjerodajnicom pohranjenom negdje na partnerovu hostu, i upravo tu prijavu HSM ocjenjuje.

AWS CloudHSM koristan je primjer jer njegova dokumentacija drži njih dvoje odvojenima: HSM korisnici razlikuju se od IAM korisnika, a vrsta korisnika određuje što račun smije raditi. Kripto službenik upravlja korisnicima i ključevima, ali nije identitet koji obavlja kriptografske operacije, dok kripto korisnik može koristiti ključeve bez mogućnosti da njima upravlja. Taj je razdvoj oblik koji želite čak i na uređaju drugog dobavljača, gdje će se nazivi uloga razlikovati.

Koji god identitet izdate, mora biti uklonjiv i pripisiv u onoj razini detalja koja će vam kasnije trebati. Jedna zajednička operativna vjerodajnica na više partnera otežava ograničavanje i odgovornost upravo u incidentu u kojem su oboje najvažniji.

Treća vrata: koji ključ i koja operacija

Potpisivanje, dešifriranje, generiranje ključeva, omatanje ključeva i administracija korisnika odvojena su dopuštenja i moraju se zasebno navesti. U terminima PKCS#11, atributi poput CKA_SENSITIVE i CKA_EXTRACTABLE opisuju može li ključni materijal napustiti modul u uporabljivom obliku, a postavljaju se po ključu, a ne po uređaju. Pročitajte stvarnu politiku na ključu umjesto da neizvozivost zaključujete iz riječi hardver ili iz postojanja tunela.

Zatim pronađite poslovno odobrenje. Ako se potpisivati smiju samo odobreni dokumenti, koja komponenta uspostavlja to odobrenje prije nego zahtjev stigne do HSM-a? Kriptografsko sučelje koje prihvaća ovlašteni zahtjev nema pojma je li dokument pregledan, pa ta provjera pripada usluzi ispred njega.

Dopušteni klijent koji je kompromitiran može i zloupotrijebiti operacije koje njegova vjerodajnica legitimno ovlašćuje, a da pritom nikada ne izvuče privatni ključ. Zaštita pohranjenog ključnog materijala i kontrola uporabe ključa stoga su dva uvjeta prihvaćanja, a ne jedan.

Odbijanja su dio prihvatnog ispitivanja

Prihvatite dopušteni zahtjev za potpisivanje i prihvatite i odbijanja: neovlašteni identitet, nepovezani ključ i upravljačku operaciju s partnerova puta. Zabilježite pozivatelja, operaciju, identifikator ključa, vrijeme i ishod, a privatni ključni materijal, vjerodajnice i sadržaj dokumenata držite izvan općih dijagnostičkih zapisa.

Dodijelite vlasnika za izlazak partnera, za sumnju na kompromitaciju na partnerovoj strani te za promjene politike i oporavak. Promjena rute ne vraća povjerenje u host koji je možda već kompromitiran, pa opoziv mora doći i do HSM identiteta.

Dovršeno VPN rukovanje pripada tom zapisu. Ono ne može zamijeniti ni jedan rezultat specifičan za HSM.