Ufikiaji wa HSM wa mshirika kupitia VPN: fafanua shughuli za ufunguo

Mtu upande wa mshirika lazima atie sahihi hati kwa ufunguo mmoja ulioteuliwa, na ombi linakuja likiwa limeundwa kama suala la mtandao: wanahitaji kufikia HSM. Chukulia sentensi hiyo kama dalili ya mkataba wa huduma usiofafanuliwa, si tatizo la uelekezaji, kwa sababu handaki inayofikia kifaa haitoi chochote yenyewe. Nyuma ya ombi kuna malango matatu: ufikivu, utambulisho wa HSM na sera ya ufunguo, na kila moja linasimamiwa mahali pengine na timu nyingine. Yaandike moja baada ya jingine, vinginevyo utaishia kutoa njia kwa sababu mazungumzo kuhusu cheti yalikuwa magumu zaidi.

Weka kesi halisi mbele ya macho: mshirika huwasilisha hati iliyoidhinishwa kwa ajili ya kutiwa sahihi kwa ufunguo mmoja uliotajwa, na hakuna kingine. Kila kitu kilicho chini kinatokana na sentensi hiyo moja.

Ufikivu, utambulisho na sera ya ufunguo ni malango matatu

Kikolezo cha VPN huamua nani anaweza kufungua handaki na ni anwani zipi anaweza kugusa. HSM huamua yenyewe ni rekodi ipi ya mtumiaji inayowasilishwa mbele yake inaweza kuingia. Kisha sera ya ufunguo huamua rekodi hiyo ya mtumiaji inaweza kufanya nini kwa ufunguo mmoja maalum. Kupita lango la kwanza huwaacha mengine mawili jinsi yalivyokuwa, ndiyo sababu kupeana mkono kwa mafanikio kunathibitisha kidogo sana na ndiyo sababu mshirika anaweza kufikia kifaa na bado kushindwa katika kila operesheni.

Panga kila lango kwa mmiliki kabla ya kuandika mahitaji. Wakati hakuna anayemiliki la pili, matokeo ya kawaida ni kwamba utambulisho mpana wa msimamizi wa HSM hutolewa kwa sababu ndiyo hati pekee inayofanya kazi.

Lango la kwanza: njia ya mtandao anayopewa mshirika

Taja mteja au huduma iliyoidhinishwa, marudio inayohitaji, na itifaki na bandari ambayo huduma hiyo inasikiliza. Kisha dhibiti ufikiaji kutoka upande wa VPN kwa jozi hiyo pande zote mbili, ikiwa ni pamoja na njia ya kurudi, ili sera iwe sentensi unayoweza kumsomea mshirika. Usimamizi wa lango, violesura vya usimamizi wa HSM na mifumo ya ndani isiyohusiana inapaswa kuwa nje ya ufikiaji wa kawaida wa mshirika, si nje ya njia chaguo-msingi pekee.

Sehemu maalum hufanya uvukaji huo uonekane, lakini jina la sehemu halitekelezi chochote. Trafiki lazima ipite katika udhibiti unaodhani inapita. Kukubali muunganisho kutoka kwa mshirika pia si tamko kwamba kila mashine kwa mshirika inaaminika.

Lango la pili: ni nini hasa linalojithibitisha kwa HSM

Utambulisho wa VPN na utambulisho wa HSM ni vitu tofauti isipokuwa muunganiko unaotumika uviunganishe kwa makusudi. Kwa mteja wa PKCS#11, programu huingia kwenye slot kwa hati iliyohifadhiwa mahali fulani kwenye mwenyeji wa mshirika, na kuingia huko ndiko HSM inakotathmini.

AWS CloudHSM ni kumbukumbu muhimu kwa sababu nyaraka zake huweka wawili hao tofauti: watumiaji wa HSM ni tofauti na watumiaji wa IAM, na aina ya mtumiaji huamua akaunti inaweza kufanya nini. Afisa wa kripto husimamia watumiaji na funguo lakini si utambulisho unaofanya shughuli za kriptografia, ilhali mtumiaji wa kripto anaweza kutumia funguo bila kuweza kuzisimamia. Mgawanyiko huo ndio umbo unaotaka hata kwenye kifaa cha muuzaji mwingine, ambapo majina ya majukumu yatakuwa tofauti.

Utambulisho wowote utakaotoa lazima uweze kuondolewa na kuhusishwa kwa undani utakaohitaji baadaye. Hati moja ya kiutendaji inayoshirikiwa kwa washirika kadhaa hufanya uzuiaji na uwajibikaji kuwa mgumu zaidi katika tukio ambalo zote mbili ni muhimu zaidi.

Lango la tatu: ufunguo upi, na operesheni ipi

Kutia sahihi, kusimbua, kuzalisha funguo, kufunga funguo na usimamizi wa watumiaji ni ruhusa tofauti na lazima ziorodheshwe tofauti. Kwa maneno ya PKCS#11, sifa kama CKA_SENSITIVE na CKA_EXTRACTABLE hueleza kama nyenzo ya ufunguo inaweza kutoka kwenye moduli katika umbo linalotumika, na huwekwa kwa kila ufunguo si kwa kifaa. Soma sera halisi kwenye ufunguo badala ya kukisia kutokukweza kuhamishwa kutokana na neno maunzi au kuwepo kwa handaki.

Kisha tafuta idhini ya biashara. Ikiwa ni hati zilizoidhinishwa pekee zinaweza kutiwa sahihi, ni sehemu gani huanzisha idhini hiyo kabla ombi kufikia HSM? Kiolesura cha kriptografia kinachokubali ombi lililoidhinishwa hakijui kama hati ilipitiwa, kwa hiyo ukaguzi huo ni wa huduma iliyo mbele yake.

Mteja aliyeruhusiwa ambaye amevamiwa anaweza pia kutumia vibaya operesheni ambazo hati yake inaidhinisha kihalali bila kutoa ufunguo wa faragha kamwe. Kwa hiyo kulinda nyenzo ya ufunguo iliyohifadhiwa na kudhibiti matumizi ya ufunguo ni masharti mawili ya kukubalika, si moja.

Kukataa ni sehemu ya jaribio la kukubalika

Kubali ombi la kutia sahihi lililoruhusiwa, na kubali pia kukataa: utambulisho usioidhinishwa, ufunguo usiohusiana na operesheni ya usimamizi kutoka njia ya mshirika. Rekodi mpigaji simu, operesheni, kitambulisho cha ufunguo, muda na matokeo, na weka nyenzo ya ufunguo wa faragha, hati na maudhui ya hati nje ya kumbukumbu za uchunguzi za jumla.

Teua mmiliki kwa ajili ya kuondoka kwa mshirika, kwa tuhuma ya uvamizi upande wa mshirika, na kwa mabadiliko ya sera na urejeshaji. Kubadilisha njia hakutoi tena imani kwa mwenyeji ambaye anaweza kuwa amevamiwa tayari, kwa hiyo ubatilishaji lazima ufikie utambulisho wa HSM pia.

Kupeana mkono kwa VPN kumekamilika ni sehemu ya kumbukumbu hiyo. Hakuwezi kuchukua nafasi ya tokeo moja maalum la HSM.