Prístup partnera k HSM cez VPN: definujte kľúčové operácie

Niekto na strane partnera musí podpísať dokument jedným určeným kľúčom a žiadosť prichádza formulovaná ako sieťová otázka: potrebujú sa dostať k HSM. Berte tú vetu ako príznak nedefinovanej servisnej zmluvy, nie ako problém smerovania, pretože tunel, ktorý sa dostane k zariadeniu, sám o sebe nič neposkytuje. Za žiadosťou stoja tri brány: dosiahnuteľnosť, identita HSM a politika kľúčov, a každú z nich spravuje iné miesto a iný tím. Napíšte ich po jednom, inak nakoniec udelíte trasu, pretože rozhovor o certifikáte bol náročnejší.

Majte pred očami konkrétny prípad: partner predkladá schválený dokument na podpis jedným pomenovaným kľúčom a nič iné. Všetko nižšie vyplýva z tej jedinej vety.

Dosiahnuteľnosť, identita a politika kľúčov sú tri brány

VPN koncentrátor rozhoduje, kto smie otvoriť tunel a ktoré adresy smie dosiahnuť. HSM sám rozhoduje, ktorý záznam používateľa pred ním sa smie prihlásiť. Politika kľúčov potom rozhoduje, čo smie ten záznam používateľa robiť s jedným konkrétnym kľúčom. Prechod prvou bránou necháva ostatné dve presne také, aké boli, preto úspešný handshake dokazuje tak málo a preto partner môže dosiahnuť zariadenie a napriek tomu zlyhať v každej operácii.

Priraďte každú bránu vlastníkovi skôr, než napíšete požiadavky. Keď druhú nikto nevlastní, zvyčajným výsledkom je, že sa vydá široká identita správcu HSM, pretože je to jediný údaj, ktorý funguje.

Prvá brána: sieťová cesta, ktorú partner dostane

Pomenujte schváleného klienta alebo službu, cieľ, ktorý potrebuje, a protokol a port, na ktorých tá služba počúva. Potom obmedzte prístup zo strany VPN na tú dvojicu v oboch smeroch, vrátane spiatočnej cesty, aby politika bola veta, ktorú môžete partnerovi prečítať. Správa brány, rozhrania na správu HSM a nesúvisiace interné systémy by mali byť mimo bežného prístupu partnera, nielen mimo predvolenej trasy.

Vyhradený segment robí tie prechody viditeľnými, ale názov segmentu nič nevynucuje. Prevádzka musí prechádzať tou kontrolou, o ktorej si myslíte, že ňou prechádza. Prijatie pripojenia od partnera tiež nie je vyhlásením, že každý stroj u partnera je dôveryhodný.

Druhá brána: čo sa skutočne autentifikuje voči HSM

Identita VPN a identita HSM sú oddelené objekty, ak ich podporovaná integrácia zámerne nespája. S klientom PKCS#11 aplikácia vykoná prihlásenie do slotu s údajom uloženým niekde na hostiteľovi partnera a práve toto prihlásenie HSM vyhodnocuje.

AWS CloudHSM je užitočný odkaz, pretože jeho dokumentácia drží obe oddelene: používatelia HSM sa líšia od používateľov IAM a typ používateľa určuje, čo smie konto robiť. Kryptografický dôstojník spravuje používateľov a kľúče, ale nie je identitou, ktorá vykonáva kryptografické operácie, zatiaľ čo kryptografický používateľ môže kľúče používať bez toho, aby ich vedel spravovať. To rozdelenie je tvar, ktorý chcete aj na zariadení iného dodávateľa, kde sa názvy rolí budú líšiť.

Akúkoľvek identitu vydáte, musí byť odstrániteľná a priraditeľná v tej podrobnosti, ktorú budete neskôr potrebovať. Jedna zdieľaná prevádzková identita pre viacerých partnerov sťažuje ohraničenie a zodpovednosť práve v incidente, kde sú obe najdôležitejšie.

Tretia brána: ktorý kľúč a ktorá operácia

Podpisovanie, dešifrovanie, generovanie kľúčov, obaľovanie kľúčov a správa používateľov sú oddelené povolenia a musia sa uvádzať oddelene. V pojmoch PKCS#11 atribúty ako CKA_SENSITIVE a CKA_EXTRACTABLE opisujú, či kľúčový materiál môže opustiť modul v použiteľnej forme, a nastavujú sa pre každý kľúč, nie pre zariadenie. Prečítajte si skutočnú politiku na kľúči namiesto odvodzovania neexportovateľnosti zo slova hardvér alebo z prítomnosti tunela.

Potom nájdite obchodné schválenie. Ak sa podpisovať smú len schválené dokumenty, ktorý komponent stanovuje toto schválenie predtým, než žiadosť dorazí k HSM? Kryptografické rozhranie, ktoré prijíma autorizovanú žiadosť, netuší, či bol dokument posúdený, takže tá kontrola patrí službe pred ním.

Povolený klient, ktorý je kompromitovaný, môže tiež zneužiť operácie, ktoré jeho údaj oprávnene autorizuje, bez toho, aby kedy extrahoval súkromný kľúč. Ochrana uloženého kľúčového materiálu a kontrola používania kľúčov sú preto dve podmienky prijatia, nie jedna.

Zamietnutia sú súčasťou akceptačného testu

Prijmite povolenú žiadosť o podpis a prijmite aj zamietnutia: neautorizovanú identitu, nesúvisiaci kľúč a operáciu správy z cesty partnera. Zaznamenajte volajúceho, operáciu, identifikátor kľúča, čas a výsledok a súkromný kľúčový materiál, prihlasovacie údaje a obsah dokumentov držte mimo všeobecných diagnostických záznamov.

Priraďte vlastníka pre odchod partnera, pre podozrenie na kompromitáciu na strane partnera a pre zmeny politiky a obnovu. Zmena trasy neobnoví dôveru v hostiteľa, ktorý už môže byť kompromitovaný, takže odvolanie musí dosiahnuť aj identitu HSM.

Dokončený handshake VPN patrí do tohto záznamu. Nemôže nahradiť ani jeden výsledok špecifický pre HSM.