Dostop partnerja do HSM prek VPN: določite ključne operacije

Nekdo pri partnerju mora podpisati dokument z enim določenim ključem, zahteva pa pride oblikovana kot omrežno vprašanje: morajo doseči HSM. To poved obravnavajte kot simptom nedefinirane storitvene pogodbe, ne kot težavo usmerjanja, ker tunel, ki doseže napravo, sam po sebi ničesar ne podeli. Za zahtevo stojijo tri vrata: dosegljivost, identiteta HSM in politika ključev, vsaka pa se upravlja na drugem mestu z drugo ekipo. Zapišite jih eno za drugo, sicer boste na koncu odobrili pot, ker je bil pogovor o potrdilu težji.

Imejte pred očmi konkreten primer: partner predloži odobren dokument v podpis z enim imenovanim ključem in nič drugega. Vse spodaj izhaja iz tega enega stavka.

Dosegljivost, identiteta in politika ključev so tri vrata

Koncentrator VPN odloči, kdo sme odpreti tunel in katerih naslovov se sme dotakniti. HSM sam odloči, kateri uporabniški zapis, predstavljen pred njim, se sme prijaviti. Politika ključev nato odloči, kaj sme ta uporabniški zapis storiti z enim določenim ključem. Prehod skozi prva vrata pusti drugi dvoje natanko takšni, kot sta bili, zato uspešno rokovanje dokaže tako malo in zato lahko partner doseže napravo, a vseeno spodleti pri vsaki operaciji.

Vsaka vrata pred pisanjem zahtev dodelite lastniku. Ko druga nimajo lastnika, je običajen izid ta, da se izda široka identiteta skrbnika HSM, ker je edino poverilo, ki deluje.

Prva vrata: omrežna pot, ki jo dobi partner

Poimenujte odobrenega odjemalca ali storitev, cilj, ki ga potrebuje, ter protokol in vrata, na katerih ta storitev posluša. Nato omejite dostop s strani VPN na ta par v obe smeri, vključno s povratno potjo, da bo politika stavek, ki ga lahko preberete partnerju. Upravljanje prehoda, vmesniki za upravljanje HSM in nepovezani notranji sistemi morajo biti zunaj običajnega dostopa partnerja, ne le zunaj privzete poti.

Namenski segment naredi te prehode vidne, a ime segmenta ničesar ne uveljavlja. Promet mora iti skozi nadzor, za katerega mislite, da gre. Dopustitev povezave s partnerjeve strani tudi ni izjava, da je vsak stroj pri partnerju zaupanja vreden.

Druga vrata: kaj se dejansko overi pri HSM

Identiteta VPN in identiteta HSM sta ločena objekta, razen če ju podprta integracija namerno poveže. Z odjemalcem PKCS#11 se aplikacija prijavi v režo s poverilom, shranjenim nekje na gostitelju partnerja, in prav to prijavo HSM ovrednoti.

AWS CloudHSM je koristen zgled, ker njegova dokumentacija drži oba ločeno: uporabniki HSM so ločeni od uporabnikov IAM, vrsta uporabnika pa določa, kaj sme račun početi. Kriptografski častnik upravlja uporabnike in ključe, vendar ni identiteta, ki izvaja kriptografske operacije, medtem ko lahko kriptografski uporabnik uporablja ključe, ne da bi jih znal upravljati. Ta ločitev je oblika, ki jo želite tudi na napravi drugega ponudnika, kjer bodo imena vlog drugačna.

Kakršno koli identiteto izdate, mora biti odstranljiva in pripisljiva s tisto podrobnostjo, ki jo boste potrebovali pozneje. Eno skupno operativno poverilo pri več partnerjih oteži omejevanje in odgovornost prav v incidentu, ko sta oba najpomembnejša.

Tretja vrata: kateri ključ in katera operacija

Podpisovanje, dešifriranje, ustvarjanje ključev, ovijanje ključev in upravljanje uporabnikov so ločena dovoljenja in jih je treba navesti ločeno. V izrazih PKCS#11 atributi, kot sta CKA_SENSITIVE in CKA_EXTRACTABLE, opisujejo, ali lahko ključno gradivo zapusti modul v uporabni obliki, in se nastavijo za vsak ključ, ne za napravo. Preberite dejansko politiko na ključu, namesto da bi neizvozljivost sklepali iz besede strojna oprema ali iz prisotnosti tunela.

Nato poiščite poslovno odobritev. Če je mogoče podpisati le odobrene dokumente, katera komponenta vzpostavi to odobritev, preden zahteva doseže HSM? Kriptografski vmesnik, ki sprejme pooblaščeno zahtevo, nima pojma, ali je bil dokument pregledan, zato ta preveritev pripada storitvi pred njim.

Dovoljeni odjemalec, ki je kompromitiran, lahko tudi zlorabi operacije, ki jih njegovo poverilo zakonito pooblašča, ne da bi kdaj izvlekel zasebni ključ. Zaščita shranjenega ključnega gradiva in nadzor uporabe ključev sta zato dva pogoja sprejetja, ne eden.

Zavrnitve so del sprejemnega preskusa

Sprejmite dovoljeno zahtevo za podpis in sprejmite tudi zavrnitve: nepooblaščeno identiteto, nepovezan ključ in upravljavsko operacijo s partnerjeve poti. Zabeležite klicatelja, operacijo, identifikator ključa, čas in izid, zasebno ključno gradivo, poverila in vsebino dokumentov pa hranite zunaj splošnih diagnostičnih dnevnikov.

Dodelite lastnika za izstop partnerja, za sum kompromitacije na partnerjevi strani ter za spremembe politike in obnovitev. Sprememba poti ne obnovi zaupanja v gostitelja, ki je morda že kompromitiran, zato mora preklic doseči tudi identiteto HSM.

Dokončano rokovanje VPN spada v ta zapis. Ne more nadomestiti niti enega rezultata, specifičnega za HSM.