Pag-access ng kasosyo sa HSM sa pamamagitan ng VPN: tukuyin ang mga operasyon ng susi

May isang tao sa kasosyo na kailangang pumirma ng dokumento gamit ang isang itinalagang susi, at ang kahilingan ay dumarating na nakabalangkas bilang usapin ng network: kailangan nilang maabot ang HSM. Ituring ang pangungusap na iyon na sintomas ng isang hindi natukoy na kontrata ng serbisyo, hindi bilang problema sa routing, dahil ang tunel na umaabot sa aparato ay walang ibinibigay sa sarili nito. Sa likod ng kahilingan ay may tatlong pintuan: maabot, pagkakakilanlan ng HSM at patakaran ng susi, at bawat isa ay pinangangasiwaan sa ibang lugar ng ibang koponan. Isulat ang mga ito nang isa-isa, kung hindi ay magtatapos ka sa pagbibigay ng ruta dahil mas mahirap ang usapan tungkol sa sertipiko.

Ilagay sa isip ang kongkretong kaso: nagsusumite ang kasosyo ng aprubadong dokumento para sa lagda gamit ang isang pinangalanang susi, at wala nang iba. Lahat ng nasa ibaba ay nagmumula sa nag-iisang pangungusap na iyon.

Maabot, pagkakakilanlan at patakaran ng susi ay tatlong pintuan

Ang tagapagtipon ng VPN ang nagpapasya kung sino ang maaaring magbukas ng tunel at kung aling mga address ang maaaring hipuin. Ang HSM mismo ang nagpapasya kung aling talaan ng gumagamit na iniharap dito ang maaaring mag-log in. Pagkatapos, pinagpapasyahan ng patakaran ng susi kung ano ang maaaring gawin ng talaang iyon ng gumagamit sa isang partikular na susi. Ang pagdaan sa unang pintuan ay iniiwan ang dalawa pang eksaktong gaya ng dati, kaya napakakaunting pinatutunayan ng matagumpay na handshake at kaya maaaring maabot ng kasosyo ang aparato at mabigo pa rin sa bawat operasyon.

Itakda ang may-ari ng bawat pintuan bago magsulat ng mga kinakailangan. Kapag walang may-ari ng pangalawa, ang karaniwang resulta ay ang pagbibigay ng malawak na pagkakakilanlan ng tagapangasiwa ng HSM dahil iyon lang ang kredensyal na gumagana.

Unang pintuan: ang landas ng network na ibinibigay sa kasosyo

Pangalanan ang aprubadong kliyente o serbisyo, ang destinasyong kailangan nito, at ang protocol at port na pinakikinggan ng serbisyong iyon. Pagkatapos, limitahan ang pag-access mula sa panig ng VPN sa pares na iyon sa parehong direksyon, kasama ang landas ng pagbabalik, upang ang patakaran ay maging pangungusap na mababasa mo sa kasosyo. Ang pangangasiwa ng gateway, mga interface ng pamamahala ng HSM at mga walang kaugnayang panloob na sistema ay dapat manatili sa labas ng ordinaryong pag-access ng kasosyo, hindi lamang sa labas ng default na ruta.

Ginagawang nakikita ng dedikadong segment ang mga pagtawid na iyon, ngunit walang ipinatutupad ang pangalan ng segment. Kailangang dumaan ang trapiko sa kontrol na inaakala mong dinaraanan nito. Ang pagtanggap ng koneksyon mula sa kasosyo ay hindi rin pahayag na bawat makina sa kasosyo ay mapagkakatiwalaan.

Ikalawang pintuan: ano ang tunay na nagpapatunay sa HSM

Ang pagkakakilanlan ng VPN at pagkakakilanlan ng HSM ay magkahiwalay na bagay maliban kung sadyang pinagsama sila ng sinusuportahang integrasyon. Sa kliyenteng PKCS#11, nagsasagawa ng pag-log in ang aplikasyon sa isang slot gamit ang kredensyal na nakaimbak sa isang lugar sa host ng kasosyo, at ang pag-log in na iyon ang tinatasa ng HSM.

Ang AWS CloudHSM ay kapaki-pakinabang na sanggunian dahil pinaghihiwalay ng dokumentasyon nito ang dalawa: ang mga gumagamit ng HSM ay naiiba sa mga gumagamit ng IAM, at ang uri ng gumagamit ang nagtatakda kung ano ang maaaring gawin ng account. Pinamamahalaan ng opisyal ng crypto ang mga gumagamit at susi ngunit hindi siya ang pagkakakilanlang nagsasagawa ng mga operasyong crypto, samantalang ang gumagamit ng crypto ay makakagamit ng mga susi nang hindi ito kayang pamahalaan. Ang paghahating iyon ang hugis na gusto mo kahit sa aparato ng ibang vendor, kung saan magkakaiba ang mga pangalan ng tungkulin.

Anuman ang pagkakakilanlang ilabas mo, kailangan itong maalis at maipasa-sa-iyo sa antas ng detalye na kakailanganin mo mamaya. Ang isang pinagsasaluhang kredensyal sa pagpapatakbo sa maraming kasosyo ay nagpapahirap sa pagpigil at pananagutan sa mismong insidente kung saan pinakamahalaga ang dalawa.

Ikatlong pintuan: aling susi, at aling operasyon

Ang pagpirma, pag-decrypt, pagbuo ng susi, pagbabalot ng susi at pangangasiwa ng gumagamit ay magkakahiwalay na pahintulot at dapat ilahad nang hiwalay. Sa mga termino ng PKCS#11, ang mga katangiang gaya ng CKA_SENSITIVE at CKA_EXTRACTABLE ay naglalarawan kung maaaring lumabas ng module ang materyal ng susi sa magagamit na anyo, at itinakda ang mga ito sa bawat susi hindi sa bawat aparato. Basahin ang tunay na patakaran sa susi sa halip na hinuha ang di-maaaring i-export mula sa salitang hardware o sa pagkakaroon ng tunel.

Pagkatapos, hanapin ang pag-apruba ng negosyo. Kung aprubadong dokumento lamang ang maaaring pirmahan, aling bahagi ang nagtatatag ng pag-aprubang iyon bago maabot ng kahilingan ang HSM? Ang interface ng crypto na tumatanggap ng awtorisadong kahilingan ay walang ideya kung nasuri ang dokumento, kaya ang pagsusuring iyon ay pag-aari ng serbisyong nasa harap nito.

Ang pinapayagang kliyenteng nakompromiso ay maaari ring abusuhin ang mga operasyong legal na awtorisado ng kredensyal nito nang hindi kailanman kumukuha ng pribadong susi. Kaya ang pagprotekta sa nakaimbak na materyal ng susi at pagkontrol sa paggamit ng susi ay dalawang kondisyon ng pagtanggap, hindi isa.

Bahagi ng pagsubok sa pagtanggap ang mga pagtanggi

Tanggapin ang pinapayagang kahilingan sa lagda, at tanggapin din ang mga pagtanggi: hindi awtorisadong pagkakakilanlan, walang kaugnayang susi at operasyon ng pamamahala mula sa landas ng kasosyo. Itala ang tumatawag, ang operasyon, ang identifier ng susi, ang oras at ang resulta, at ilayo ang pribadong materyal ng susi, mga kredensyal at nilalaman ng dokumento sa pangkalahatang diagnostic log.

Magtalaga ng may-ari para sa paglabas ng kasosyo, para sa pinaghihinalaang kompromiso sa panig ng kasosyo, at para sa mga pagbabago sa patakaran at pagbawi. Ang pagbabago ng ruta ay hindi nagbabalik ng tiwala sa host na maaaring nakompromiso na, kaya ang pagpapawalang-bisa ay dapat umabot din sa pagkakakilanlan ng HSM.

Ang natapos na handshake ng VPN ay kabilang sa talaang iyon. Hindi ito maaaring pumalit sa kahit isang resultang partikular sa HSM.