Ortakların VPN üzerinden HSM erişimi: anahtar işlemlerini tanımlayın

Ortak tarafında birinin tek bir belirlenmiş anahtarla bir belgeyi imzalaması gerekiyor ve istek bir ağ sorunu gibi geliyor: HSM'ye ulaşmaları gerekiyor. Bu cümleyi bir yönlendirme sorunu değil, tanımsız bir hizmet sözleşmesinin belirtisi olarak ele alın, çünkü cihaza ulaşan bir tünel kendi başına hiçbir şey vermez. İsteğin arkasında üç kapı vardır: erişilebilirlik, HSM kimliği ve anahtar politikası ve her biri farklı bir yerde farklı bir ekip tarafından yönetilir. Bunları tek tek yazın, yoksa sertifika konuşması daha zor olduğu için sonunda bir yol verirsiniz.

Somut durumu göz önünde tutun: ortak, imza için onaylanmış bir belgeyi tek bir adlandırılmış anahtarla sunar ve başka hiçbir şey sunmaz. Aşağıdaki her şey bu tek cümleden çıkar.

Erişilebilirlik, kimlik ve anahtar politikası üç kapıdır

VPN yoğunlaştırıcısı kimin tünel açabileceğine ve hangi adreslere dokunabileceğine karar verir. HSM, kendisine sunulan hangi kullanıcı kaydının oturum açabileceğine kendisi karar verir. Ardından anahtar politikası, o kullanıcı kaydının belirli bir anahtarla ne yapabileceğine karar verir. İlk kapıdan geçmek diğer ikisini tam olarak olduğu gibi bırakır, bu yüzden başarılı bir el sıkışma bu kadar az şey kanıtlar ve bu yüzden ortak cihaza ulaşıp yine de her işlemde başarısız olabilir.

Gereksinimleri yazmadan önce her kapıya bir sahip atayın. İkincisinin sahibi yoksa olağan sonuç, çalışan tek kimlik bilgisi o olduğu için geniş bir HSM yöneticisi kimliğinin verilmesidir.

Birinci kapı: ortağa verilen ağ yolu

Onaylanan istemciyi veya hizmeti, ihtiyaç duyduğu hedefi ve o hizmetin dinlediği protokol ile bağlantı noktasını adlandırın. Ardından VPN tarafındaki erişimi bu çifte iki yönde sınırlayın, dönüş yolu dahil, böylece politika ortağa okuyabileceğiniz bir cümle olsun. Ağ geçidi yönetimi, HSM yönetim arayüzleri ve ilgisiz iç sistemler sıradan ortak erişiminin dışında durmalıdır, yalnızca varsayılan rotanın dışında değil.

Ayrılmış bir segment bu geçişleri görünür kılar, ancak bir segmentin adı hiçbir şeyi uygulamaz. Trafik, geçtiğini düşündüğünüz denetimden geçmelidir. Ortaktan bir bağlantı kabul etmek, ortaktaki her makinenin güvenilir olduğu beyanı da değildir.

İkinci kapı: HSM'ye gerçekte ne kimlik doğrular

VPN kimliği ile HSM kimliği, desteklenen bir entegrasyon bunları bilerek birleştirmedikçe ayrı nesnelerdir. PKCS#11 istemcisiyle uygulama, ortağın ana bilgisayarında bir yerde saklanan bir kimlik bilgisiyle bir yuvaya oturum açar ve HSM'nin değerlendirdiği şey tam olarak bu oturum açmadır.

AWS CloudHSM yararlı bir referanstır çünkü belgeleri ikisini ayrı tutar: HSM kullanıcıları IAM kullanıcılarından farklıdır ve kullanıcı türü hesabın ne yapabileceğini belirler. Kripto görevlisi kullanıcıları ve anahtarları yönetir ancak kriptografik işlemleri gerçekleştiren kimlik o değildir, oysa kripto kullanıcısı anahtarları yönetemeden kullanabilir. Bu ayrım, rol adlarının farklı olacağı başka bir satıcının cihazında da istediğiniz biçimdir.

Hangi kimliği verirseniz verin, daha sonra ihtiyaç duyacağınız ayrıntı düzeyinde kaldırılabilir ve atfedilebilir olmalıdır. Birden çok ortakta paylaşılan tek bir operasyonel kimlik bilgisi, her ikisinin de en çok önem taşıdığı olayda sınırlamayı ve hesap verebilirliği zorlaştırır.

Üçüncü kapı: hangi anahtar ve hangi işlem

İmzalama, şifre çözme, anahtar üretimi, anahtar sarma ve kullanıcı yönetimi ayrı izinlerdir ve ayrı ayrı listelenmelidir. PKCS#11 terimleriyle CKA_SENSITIVE ve CKA_EXTRACTABLE gibi öznitelikler anahtar malzemesinin modülden kullanılabilir biçimde çıkıp çıkamayacağını açıklar ve bunlar cihaz başına değil anahtar başına ayarlanır. Dışa aktarılamazlığı donanım sözcüğünden veya bir tünelin varlığından çıkarsamak yerine anahtar üzerindeki gerçek politikayı okuyun.

Ardından iş onayını bulun. Yalnızca onaylanmış belgeler imzalanabiliyorsa, istek HSM'ye ulaşmadan önce bu onayı hangi bileşen tesis eder? Yetkili bir isteği kabul eden kriptografik arayüzün belgenin incelenip incelenmediğine dair hiçbir fikri yoktur, bu yüzden o kontrol önündeki hizmete aittir.

İzin verilen bir istemci ele geçirilirse, kimlik bilgisinin yasal olarak yetkilendirdiği işlemleri özel anahtarı hiç çıkarmadan da kötüye kullanabilir. Bu nedenle saklanan anahtar malzemesini korumak ve anahtar kullanımını denetlemek iki kabul koşuludur, tek değil.

Retler kabul testinin bir parçasıdır

İzin verilen imza isteğini kabul edin ve retleri de kabul edin: yetkisiz bir kimlik, ilgisiz bir anahtar ve ortağın yolundan gelen bir yönetim işlemi. Çağıranı, işlemi, anahtar tanımlayıcısını, zamanı ve sonucu kaydedin; özel anahtar malzemesini, kimlik bilgilerini ve belge içeriğini genel tanılama günlüklerinin dışında tutun.

Ortağın ayrılması, ortak tarafında şüpheli bir ele geçirme ve politika değişiklikleri ile kurtarma için bir sahip atayın. Bir rotayı değiştirmek zaten ele geçirilmiş olabilecek bir ana bilgisayara duyulan güveni geri getirmez, bu yüzden iptal HSM kimliğine de ulaşmalıdır.

Tamamlanmış bir VPN el sıkışması o kayda aittir. HSM'ye özgü tek bir sonucun yerini tutamaz.