การเข้าถึง HSM ของพันธมิตรผ่าน VPN: กำหนดการดำเนินการกับคีย์

มีคนฝ่ายพันธมิตรต้องลงนามเอกสารด้วยคีย์หนึ่งคีย์ที่กำหนด และคำขอมาถูกจัดวางเป็นเรื่องเครือข่าย คือพวกเขาต้องไปถึง HSM ให้ถือประโยคนั้นเป็นอาการของสัญญาบริการที่ยังไม่นิยาม ไม่ใช่ปัญหาเส้นทาง เพราะอุโมงค์ที่ไปถึงอุปกรณ์ไม่ได้ให้สิทธิ์ใดด้วยตัวเอง เบื้องหลังคำขอมีสามประตู คือการเข้าถึง ตัวตนของ HSM และนโยบายคีย์ และแต่ละประตูบริหารจัดการคนละที่โดยคนละทีม เขียนออกมาทีละประตู ไม่อย่างนั้นคุณจะลงเอยด้วยการให้เส้นทางเพราะการคุยเรื่องใบรับรองนั้นยากกว่า

เก็บกรณีจริงไว้ในสายตา พันธมิตรส่งเอกสารที่อนุมัติแล้วเพื่อลงนามด้วยคีย์ที่ระบุชื่อหนึ่งคีย์ และไม่มีอย่างอื่น ทุกอย่างด้านล่างมาจากประโยคเดียวนั้น

การเข้าถึง ตัวตน และนโยบายคีย์คือสามประตู

ตัวรวมอุโมงค์ VPN ตัดสินว่าใครเปิดอุโมงค์ได้และแตะที่อยู่ใดได้ HSM ตัดสินเองว่าเรกคอร์ดผู้ใช้ใดที่ถูกนำมาแสดงต่อหน้าจะเข้าสู่ระบบได้ จากนั้นนโยบายคีย์ตัดสินว่าเรกคอร์ดผู้ใช้นั้นทำอะไรได้กับคีย์เฉพาะหนึ่งคีย์ การผ่านประตูแรกปล่อยอีกสองประตูไว้เหมือนเดิมทุกประการ นี่คือเหตุผลที่การจับมือที่สำเร็จพิสูจน์ได้น้อยนัก และเป็นเหตุผลที่พันธมิตรไปถึงอุปกรณ์ได้แต่ยังล้มเหลวในทุกการดำเนินการ

กำหนดเจ้าของให้แต่ละประตูก่อนเขียนข้อกำหนด เมื่อไม่มีใครเป็นเจ้าของประตูที่สอง ผลลัพธ์ปกติคือการออกตัวตนผู้ดูแล HSM แบบกว้าง เพราะเป็นข้อมูลรับรองเดียวที่ใช้งานได้

ประตูแรก: เส้นทางเครือข่ายที่พันธมิตรได้รับ

ระบุไคลเอนต์หรือบริการที่อนุมัติ จุดหมายปลายทางที่ต้องการ และโปรโตคอลกับพอร์ตที่บริการนั้นรับฟัง จากนั้นจำกัดการเข้าถึงจากฝั่ง VPN ให้เหลือคู่นั้นทั้งสองทิศทาง รวมถึงเส้นทางขากลับ เพื่อให้นโยบายเป็นประโยคที่คุณอ่านให้พันธมิตรฟังได้ การบริหารเกตเวย์ อินเทอร์เฟซจัดการ HSM และระบบภายในที่ไม่เกี่ยวข้องควรอยู่นอกการเข้าถึงปกติของพันธมิตร ไม่ใช่แค่นอกเส้นทางเริ่มต้น

เซกเมนต์เฉพาะทำให้การข้ามเหล่านั้นมองเห็นได้ แต่ชื่อของเซกเมนต์ไม่ได้บังคับอะไร ทราฟฟิกต้องผ่านการควบคุมที่คุณคิดว่ามันผ่าน การยอมรับการเชื่อมต่อจากพันธมิตรก็ไม่ใช่คำประกาศว่าเครื่องทุกเครื่องของพันธมิตรน่าเชื่อถือ

ประตูที่สอง: อะไรที่ยืนยันตัวตนกับ HSM จริง ๆ

ตัวตน VPN กับตัวตน HSM เป็นวัตถุแยกกัน เว้นแต่การเชื่อมรวมที่รองรับจะรวมเข้าด้วยกันโดยเจตนา กับไคลเอนต์ PKCS#11 แอปพลิเคชันเข้าสู่ระบบกับสล็อตด้วยข้อมูลรับรองที่เก็บไว้ที่ใดที่หนึ่งบนโฮสต์ของพันธมิตร และการเข้าสู่ระบบนั้นคือสิ่งที่ HSM ประเมิน

AWS CloudHSM เป็นข้อมูลอ้างอิงที่มีประโยชน์เพราะเอกสารแยกสองอย่างนี้ออกจากกัน คือ ผู้ใช้ HSM ต่างจากผู้ใช้ IAM และประเภทผู้ใช้กำหนดว่าบัญชีทำอะไรได้ เจ้าหน้าที่คริปโตจัดการผู้ใช้และคีย์แต่ไม่ใช่ตัวตนที่ทำการดำเนินการคริปโต ขณะที่ผู้ใช้คริปโตใช้คีย์ได้โดยไม่สามารถจัดการคีย์ได้ การแยกนั้นคือรูปแบบที่คุณต้องการแม้บนอุปกรณ์ของผู้ขายรายอื่น ซึ่งชื่อบทบาทจะแตกต่างกัน

ตัวตนใดก็ตามที่คุณออกให้ต้องลบได้และระบุที่มาได้ในระดับรายละเอียดที่คุณจะต้องใช้ในภายหลัง ข้อมูลรับรองการปฏิบัติงานชุดเดียวที่ใช้ร่วมกันหลายพันธมิตรทำให้การจำกัดวงและการตรวจสอบย้อนหลังยากขึ้นในเหตุการณ์ที่ทั้งสองอย่างสำคัญที่สุด

ประตูที่สาม: คีย์ใด และการดำเนินการใด

การลงนาม การถอดรหัส การสร้างคีย์ การห่อหุ้มคีย์ และการบริหารผู้ใช้เป็นสิทธิ์แยกจากกันและต้องระบุแยกจากกัน ในแง่ PKCS#11 แอตทริบิวต์อย่าง CKA_SENSITIVE และ CKA_EXTRACTABLE อธิบายว่าเนื้อหาคีย์ออกจากโมดูลในรูปแบบที่ใช้งานได้หรือไม่ และตั้งค่าเป็นรายคีย์ไม่ใช่รายอุปกรณ์ อ่านนโยบายจริงบนคีย์แทนการอนุมานว่าส่งออกไม่ได้จากคำว่าฮาร์ดแวร์หรือจากการมีอยู่ของอุโมงค์

จากนั้นหาเหตุผลการอนุมัติทางธุรกิจ ถ้าลงนามได้เฉพาะเอกสารที่อนุมัติแล้ว ส่วนประกอบใดกำหนดการอนุมัตินั้นก่อนที่คำขอจะไปถึง HSM อินเทอร์เฟซคริปโตที่รับคำขอที่ได้รับอนุญาตไม่รู้ว่าเอกสารถูกตรวจทานหรือไม่ การตรวจสอบนั้นจึงเป็นของบริการที่อยู่ข้างหน้า

ไคลเอนต์ที่ได้รับอนุญาตซึ่งถูกบุกรุกก็ใช้การดำเนินการที่ข้อมูลรับรองอนุญาตโดยชอบด้วยกฎหมายในทางที่ผิดได้ โดยไม่ต้องดึงกุญแจส่วนตัวออกมาเลย ดังนั้นการปกป้องเนื้อหาคีย์ที่เก็บไว้และการควบคุมการใช้คีย์จึงเป็นเงื่อนไขการยอมรับสองข้อ ไม่ใช่ข้อเดียว

การปฏิเสธเป็นส่วนหนึ่งของการทดสอบการยอมรับ

ยอมรับคำขอลงนามที่อนุญาต และยอมรับการปฏิเสธด้วย คือตัวตนที่ไม่ได้รับอนุญาต คีย์ที่ไม่เกี่ยวข้อง และการดำเนินการบริหารจากเส้นทางของพันธมิตร บันทึกผู้เรียก การดำเนินการ ตัวระบุคีย์ เวลา และผลลัพธ์ และเก็บเนื้อหากุญแจส่วนตัว ข้อมูลรับรอง และเนื้อหาเอกสารไว้นอกบันทึกการวินิจฉัยทั่วไป

กำหนดเจ้าของสำหรับการถอนพันธมิตร สำหรับข้อสงสัยว่าถูกบุกรุกฝั่งพันธมิตร และสำหรับการเปลี่ยนนโยบายและการกู้คืน การเปลี่ยนเส้นทางไม่ได้คืนความเชื่อถือให้โฮสต์ที่อาจถูกบุกรุกแล้ว การเพิกถอนจึงต้องไปถึงตัวตน HSM ด้วย

การจับมือ VPN ที่เสร็จสมบูรณ์เป็นส่วนหนึ่งของบันทึกนั้น มันแทนที่ผลลัพธ์เฉพาะ HSM แม้เพียงหนึ่งเดียวไม่ได้