VPN வழியாக பங்குதாரரின் HSM அணுகல்: முக்கிய செயல்பாடுகளை வரையறுக்கவும்

பங்குதாரர் பக்கத்தில் யாரோ ஒருவர் ஒரு நியமிக்கப்பட்ட சாவியால் ஆவணத்தில் கையொப்பமிட வேண்டும், மேலும் கோரிக்கை நெட்வொர்க் விஷயமாக வருகிறது: அவர்கள் HSM-ஐ அடைய வேண்டும். அந்த வாக்கியத்தை ரூட்டிங் பிரச்சினையாக அல்ல, வரையறுக்கப்படாத சேவை ஒப்பந்தத்தின் அறிகுறியாகக் கருதுங்கள், ஏனெனில் சாதனத்தை அடையும் சுரங்கப்பாதை தானாக எதையும் கொடுக்காது. கோரிக்கையின் பின்னால் மூன்று வாயில்கள் உள்ளன: அணுகல், HSM அடையாளம் மற்றும் சாவி கொள்கை, ஒவ்வொன்றும் வெவ்வேறு இடத்தில் வெவ்வேறு குழுவால் நிர்வகிக்கப்படுகிறது. அவற்றை ஒவ்வொன்றாக எழுதுங்கள், இல்லையெனில் சான்றிதழ் பற்றிய பேச்சு கடினமாக இருந்ததால் இறுதியில் நீங்கள் ஒரு வழியை வழங்குவீர்கள்.

குறிப்பிட்ட வழக்கை மனதில் வையுங்கள்: பங்குதாரர் ஒரு பெயரிடப்பட்ட சாவியால் கையொப்பமிட ஒப்புதல் பெற்ற ஆவணத்தை மட்டும் சமர்ப்பிக்கிறார், வேறு எதுவும் இல்லை. கீழே உள்ள அனைத்தும் அந்த ஒரே வாக்கியத்திலிருந்து வருகிறது.

அணுகல், அடையாளம் மற்றும் சாவி கொள்கை மூன்று வாயில்கள்

VPN செறிவூட்டி யார் சுரங்கப்பாதையைத் திறக்கலாம், எந்த முகவரிகளைத் தொடலாம் என்பதை தீர்மானிக்கிறது. HSM தனக்கு முன் சமர்ப்பிக்கப்படும் எந்தப் பயனர் பதிவு உள்நுழையலாம் என்பதைத் தானே தீர்மானிக்கிறது. பின்னர் சாவி கொள்கை அந்தப் பயனர் பதிவு ஒரு குறிப்பிட்ட சாவியுடன் என்ன செய்யலாம் என்பதைத் தீர்மானிக்கிறது. முதல் வாயிலைக் கடப்பது மற்ற இரண்டையும் இருந்தபடியே வைத்திருக்கும், அதனால்தான் வெற்றிகரமான கைக்குலுக்கல் மிகக் குறைவாக நிரூபிக்கிறது, அதனால்தான் பங்குதாரர் சாதனத்தை அடைந்தும் ஒவ்வொரு செயல்பாட்டிலும் தோல்வியடைய முடியும்.

தேவைகளை எழுதுவதற்கு முன் ஒவ்வொரு வாயிலுக்கும் உரிமையாளரை நியமிக்கவும். இரண்டாவதற்கு உரிமையாளர் இல்லாதபோது, வழக்கமான முடிவு என்னவென்றால், வேலை செய்யும் ஒரே சான்று அதுவே என்பதால் பரந்த HSM நிர்வாகி அடையாளம் வழங்கப்படுகிறது.

முதல் வாயில்: பங்குதாரருக்கு வழங்கப்படும் நெட்வொர்க் பாதை

ஒப்புதல் பெற்ற கிளையண்ட் அல்லது சேவை, அதற்குத் தேவையான இலக்கு, மற்றும் அந்தச் சேவைக் கேட்கும் நெறிமுறை மற்றும் துறையைக் குறிப்பிடுங்கள். பின்னர் VPN பக்கத்திலிருந்து அணுகலை அந்த இணைக்கு இரு திசைகளிலும் வரம்பிடுங்கள், திரும்பும் பாதையும் உட்பட, அப்போது கொள்கை பங்குதாரருக்குப் படித்துக் காட்டக்கூடிய ஒரு வாக்கியமாகும். நுழைவாயில் நிர்வாகம், HSM மேலாண்மை இடைமுகங்கள் மற்றும் தொடர்பற்ற உள் அமைப்புகள் சாதாரண பங்குதாரர் அணுகலுக்கு வெளியே இருக்க வேண்டும், இயல்புநிலை பாதைக்கு வெளியே மட்டுமல்ல.

தனி பிரிவு அந்தக் கடப்புகளைத் தெரியப்படுத்துகிறது, ஆனால் பிரிவின் பெயர் எதையும் நடைமுறைப்படுத்தாது. போக்குவரத்து நீங்கள் நினைக்கும் கட்டுப்பாட்டின் வழியாகவே செல்ல வேண்டும். பங்குதாரரிடமிருந்து இணைப்பை ஏற்பது பங்குதாரரின் ஒவ்வொரு இயந்திரமும் நம்பகமானது என்ற அறிக்கையும் அல்ல.

இரண்டாவது வாயில்: HSM முன் உண்மையில் எது அங்கீகரிக்கப்படுகிறது

VPN அடையாளமும் HSM அடையாளமும் ஆதரவளிக்கும் ஒருங்கிணைப்பு வேண்டுமென்றே இணைக்காத வரை தனித்தனி பொருட்கள். PKCS#11 கிளையண்டுடன், பயன்பாடு பங்குதாரரின் ஹோஸ்ட்டில் எங்கோ சேமிக்கப்பட்ட சான்றுடன் ஒரு ஸ்லாட்டில் உள்நுழைகிறது, அந்த உள்நுழைவையே HSM மதிப்பிடுகிறது.

AWS CloudHSM பயனுள்ள குறிப்பு, ஏனெனில் அதன் ஆவணங்கள் இரண்டையும் தனித்தனியாக வைத்திருக்கின்றன: HSM பயனர்கள் IAM பயனர்களிலிருந்து வேறுபடுகிறார்கள், மேலும் பயனர் வகை கணக்கு என்ன செய்யலாம் என்பதைத் தீர்மானிக்கிறது. கிரிப்டோ அதிகாரி பயனர்களையும் சாவிகளையும் நிர்வகிக்கிறார், ஆனால் கிரிப்டோகிராஃபிக் செயல்பாடுகளைச் செய்யும் அடையாளம் அவர் அல்ல, அதேசமயம் கிரிப்டோ பயனர் சாவிகளை நிர்வகிக்க முடியாவிட்டாலும் அவற்றைப் பயன்படுத்தலாம். அந்தப் பிரிவினைதான் வேறு விற்பனையாளரின் சாதனத்திலும் நீங்கள் விரும்பும் வடிவம், அங்கு பாத்திரப் பெயர்கள் வேறுபடும்.

நீங்கள் வழங்கும் எந்த அடையாளமும் பின்னர் உங்களுக்குத் தேவைப்படும் நுணுக்கத்தில் அகற்றக்கூடியதாகவும் காரணமாகக் கூறக்கூடியதாகவும் இருக்க வேண்டும். பல பங்குதாரர்களிடையே ஒரு பங்கிடப்பட்ட செயல்பாட்டுச் சான்று, இரண்டும் மிக முக்கியமான அந்தச் சம்பவத்திலேயே தடுப்பையும் பொறுப்புணர்வையும் கடினமாக்குகிறது.

மூன்றாவது வாயில்: எந்தச் சாவி, எந்தச் செயல்பாடு

கையொப்பமிடுதல், மறைகுறியாக்கம், சாவி உருவாக்கம், சாவி மடித்தல் மற்றும் பயனர் நிர்வாகம் ஆகியவை தனித்தனி அனுமதிகள், அவற்றைத் தனித்தனியாகப் பட்டியலிட வேண்டும். PKCS#11 சொற்களில், CKA_SENSITIVE மற்றும் CKA_EXTRACTABLE போன்ற பண்புகள் சாவிப் பொருள் பயன்படுத்தக்கூடிய வடிவில் தொகுதியிலிருந்து வெளியேற முடியுமா என்பதை விவரிக்கின்றன, அவை சாதனத்திற்கு அல்ல, ஒவ்வொரு சாவிக்கும் அமைக்கப்படுகின்றன. வன்பொருள் என்ற சொல்லிலிருந்தோ சுரங்கப்பாதை இருப்பதிலிருந்தோ ஏற்றுமதி செய்ய முடியாது என்று ஊகிப்பதற்குப் பதிலாக சாவியில் உள்ள உண்மையான கொள்கையைப் படியுங்கள்.

பின்னர் வணிக ஒப்புதலைக் கண்டறியுங்கள். ஒப்புதல் பெற்ற ஆவணங்களுக்கு மட்டுமே கையொப்பமிட முடியும் என்றால், கோரிக்கை HSM-ஐ அடையும் முன் எந்தக் கூறு அந்த ஒப்புதலை நிறுவுகிறது? அதிகாரம் பெற்ற கோரிக்கையை ஏற்கும் கிரிப்டோகிராஃபிக் இடைமுகத்திற்கு ஆவணம் மதிப்பாய்வு செய்யப்பட்டதா என்று தெரியாது, எனவே அந்தச் சரிபார்ப்பு அதற்கு முன்னால் உள்ள சேவைக்கு உரியது.

அனுமதிக்கப்பட்ட கிளையண்ட் சமரசம் செய்யப்பட்டால், அதன் சான்று சட்டப்பூர்வமாக அதிகாரம் அளிக்கும் செயல்பாடுகளை அது தனிப்பட்ட சாவியை ஒருபோதும் பிரித்தெடுக்காமலேயே தவறாகப் பயன்படுத்தலாம். எனவே சேமிக்கப்பட்ட சாவிப் பொருளைப் பாதுகாப்பதும் சாவி பயன்பாட்டைக் கட்டுப்படுத்துவதும் இரண்டு ஏற்பு நிபந்தனைகள், ஒன்றல்ல.

மறுப்புகள் ஏற்புச் சோதனையின் பகுதி

அனுமதிக்கப்பட்ட கையொப்பக் கோரிக்கையை ஏற்றுக்கொள்ளுங்கள், மறுப்புகளையும் ஏற்றுக்கொள்ளுங்கள்: அனுமதிக்கப்படாத அடையாளம், தொடர்பற்ற சாவி மற்றும் பங்குதாரரின் பாதையிலிருந்து வரும் நிர்வாகச் செயல்பாடு. அழைப்பவர், செயல்பாடு, சாவி அடையாளங்காட்டி, நேரம் மற்றும் முடிவைப் பதிவு செய்யுங்கள், தனிப்பட்ட சாவிப் பொருள், சான்றுகள் மற்றும் ஆவண உள்ளடக்கத்தைப் பொதுவான கண்டறிதல் பதிவுகளுக்கு வெளியே வையுங்கள்.

பங்குதாரர் வெளியேறுதல், பங்குதாரர் பக்கத்தில் சந்தேகத்தக்க சமரசம், மற்றும் கொள்கை மாற்றங்கள் மற்றும் மீட்பு ஆகியவற்றுக்கு உரிமையாளரை நியமிக்கவும். பாதையை மாற்றுவது ஏற்கனவே சமரசம் செய்யப்பட்டிருக்கக்கூடிய ஹோஸ்ட்டின் மீதான நம்பிக்கையை மீட்டெடுக்காது, எனவே ரத்து HSM அடையாளத்தையும் அடைய வேண்டும்.

முடிந்த VPN கைக்குலுக்கல் அந்தப் பதிவில் சேர்கிறது. அது HSM-க்கு உரிய ஒரு முடிவுக்குக்கூட மாற்றாக இருக்க முடியாது.