VPN کے ذریعے شراکت دار کی HSM تک رسائی: کلیدی کارروائیاں متعین کریں

شراکت دار کی طرف کسی کو ایک مقررہ کنجی سے دستاویز پر دستخط کرنے ہیں، اور درخواست نیٹ ورکنگ کے معاملے کے طور پر آتی ہے: انہیں HSM تک پہنچنا ہے۔ اس جملے کو راستہ سازی کا مسئلہ نہیں بلکہ غیر متعین سروس معاہدے کی علامت سمجھیں، کیونکہ اپلائنس تک پہنچنے والی سرنگ بذات خود کچھ نہیں دیتی۔ درخواست کے پیچھے تین دروازے ہیں: رسائی، HSM کی شناخت اور کنجی کی پالیسی، اور ہر ایک کا انتظام الگ جگہ پر الگ ٹیم کرتی ہے۔ انہیں ایک ایک کرکے لکھیں، ورنہ آپ آخر میں راستہ دے دیں گے کیونکہ سرٹیفکیٹ کی گفتگو زیادہ مشکل تھی۔

ٹھوس معاملہ سامنے رکھیں: شراکت دار ایک نامزد کنجی سے دستخط کے لیے منظور شدہ دستاویز جمع کراتا ہے، اور اس کے سوا کچھ نہیں۔ نیچے سب کچھ اسی ایک جملے سے نکلتا ہے۔

رسائی، شناخت اور کنجی کی پالیسی تین دروازے ہیں

VPN کنسنٹریٹر طے کرتا ہے کہ کون سرنگ کھول سکتا ہے اور کون سے پتوں کو چھو سکتا ہے۔ HSM خود طے کرتا ہے کہ اس کے سامنے پیش کردہ کون سا صارف ریکارڈ لاگ ان کر سکتا ہے۔ پھر کنجی کی پالیسی طے کرتی ہے کہ وہ صارف ریکارڈ ایک مخصوص کنجی کے ساتھ کیا کر سکتا ہے۔ پہلے دروازے سے گزرنا باقی دو کو بالکل ویسا ہی رہنے دیتا ہے، اسی لیے کامیاب ہینڈ شیک بہت کم ثابت کرتا ہے اور اسی لیے شراکت دار اپلائنس تک پہنچ کر بھی ہر کارروائی میں ناکام ہو سکتا ہے۔

ضروریات لکھنے سے پہلے ہر دروازے کو ایک مالک تفویض کریں۔ جب دوسرے کا کوئی مالک نہ ہو، تو عام نتیجہ یہ ہوتا ہے کہ وسیع HSM منتظم کی شناخت دی جاتی ہے کیونکہ صرف وہی واحد اسناد ہے جو کام کرتی ہے۔

پہلا دروازہ: شراکت دار کو دیا جانے والا نیٹ ورک راستہ

منظور شدہ کلائنٹ یا سروس، اس کی مطلوبہ منزل، اور وہ پروٹوکول اور پورٹ بتائیں جس پر وہ سروس سنتی ہے۔ پھر VPN کی طرف سے رسائی کو اسی جوڑے تک دونوں سمتوں میں محدود کریں، واپسی راستے سمیت، تاکہ پالیسی ایسا جملہ بنے جو آپ شراکت دار کو پڑھ کر سنا سکیں۔ گیٹ وے کا انتظام، HSM کے انتظامی انٹرفیس اور غیر متعلق اندرونی نظام عام شراکت دار رسائی سے باہر رہنے چاہئیں، نہ صرف ڈیفالٹ راستے سے باہر۔

مخصوص سیگمنٹ ان عبور گاہوں کو نظر آنے والا بناتا ہے، لیکن سیگمنٹ کا نام کچھ نافذ نہیں کرتا۔ ٹریفک کو اسی کنٹرول سے گزرنا ہوگا جس سے آپ سمجھتے ہیں کہ وہ گزرتا ہے۔ شراکت دار کی طرف سے کنکشن قبول کرنا یہ بیان بھی نہیں ہے کہ شراکت دار کی ہر مشین قابل اعتماد ہے۔

دوسرا دروازہ: HSM کے سامنے واقعی کون توثیق کرتا ہے

VPN شناخت اور HSM شناخت الگ اشیاء ہیں، الا یہ کہ کوئی معاون انضمام انہیں دانستہ جوڑ دے۔ PKCS#11 کلائنٹ کے ساتھ، ایپلیکیشن شراکت دار کے ہوسٹ پر کہیں محفوظ اسناد کے ساتھ سلاٹ میں لاگ ان کرتی ہے، اور HSM اسی لاگ ان کا جائزہ لیتا ہے۔

AWS CloudHSM ایک مفید حوالہ ہے کیونکہ اس کی دستاویزات دونوں کو الگ رکھتی ہیں: HSM صارفین IAM صارفین سے مختلف ہیں، اور صارف کی قسم طے کرتی ہے کہ اکاؤنٹ کیا کر سکتا ہے۔ کریپٹو افسر صارفین اور کنجیوں کا انتظام کرتا ہے لیکن وہ شناخت نہیں جو کریپٹوگرافک کارروائیاں کرتی ہے، جبکہ کریپٹو صارف کنجیوں کا انتظام کیے بغیر انہیں استعمال کر سکتا ہے۔ یہی تقسیم وہ شکل ہے جو آپ کسی دوسرے وینڈر کے اپلائنس پر بھی چاہتے ہیں، جہاں کرداروں کے نام مختلف ہوں گے۔

آپ جو بھی شناخت جاری کریں، وہ اس تفصیل پر ہٹائی جا سکنے والی اور منسوب کی جا سکنے والی ہونی چاہیے جو آپ کو بعد میں درکار ہوگی۔ کئی شراکت داروں میں ایک مشترکہ آپریشنل اسناد کنٹینمنٹ اور جوابدہی کو ٹھیک اسی واقعے میں مشکل بناتی ہے جہاں دونوں سب سے زیادہ اہم ہیں۔

تیسرا دروازہ: کون سی کنجی، اور کون سی کارروائی

دستخط، ڈکرپشن، کنجی کی تخلیق، کنجی کی لپیٹ اور صارف کا انتظام الگ الگ اجازتیں ہیں اور انہیں الگ الگ درج کرنا چاہیے۔ PKCS#11 کی اصطلاحات میں، CKA_SENSITIVE اور CKA_EXTRACTABLE جیسی خصوصیات بتاتی ہیں کہ کنجی کا مواد ماڈیول سے قابل استعمال شکل میں نکل سکتا ہے یا نہیں، اور یہ فی کنجی مقرر ہوتی ہیں نہ کہ فی اپلائنس۔ ہارڈ ویئر کے لفظ یا سرنگ کی موجودگی سے ناقابل برآمدگی کا اندازہ لگانے کے بجائے کنجی پر موجود اصل پالیسی پڑھیں۔

پھر کاروباری منظوری تلاش کریں۔ اگر صرف منظور شدہ دستاویزات پر دستخط ہو سکتے ہیں، تو درخواست کے HSM تک پہنچنے سے پہلے کون سا جزو وہ منظوری قائم کرتا ہے؟ مجاز درخواست قبول کرنے والا کریپٹوگرافک انٹرفیس نہیں جانتا کہ دستاویز کا جائزہ لیا گیا ہے یا نہیں، اس لیے وہ جانچ اس کے سامنے والی سروس کی ذمہ داری ہے۔

اجازت یافتہ کلائنٹ اگر متاثر ہو جائے تو وہ نجی کنجی کبھی نکالے بغیر بھی ان کارروائیوں کا غلط استعمال کر سکتا ہے جن کی اسناد اسے قانونی طور پر اجازت دیتی ہیں۔ اس لیے محفوظ کنجی کے مواد کا تحفظ اور کنجی کے استعمال کا کنٹرول دو قبولیت کی شرطیں ہیں، ایک نہیں۔

انکار قبولیت کے امتحان کا حصہ ہیں

اجازت یافتہ دستخط کی درخواست قبول کریں، اور انکار بھی قبول کریں: غیر مجاز شناخت، غیر متعلق کنجی اور شراکت دار کے راستے سے انتظامی کارروائی۔ کال کرنے والا، کارروائی، کنجی کی شناخت کنندہ، وقت اور نتیجہ درج کریں، اور نجی کنجی کا مواد، اسناد اور دستاویزات کا مواد عام تشخیصی لاگز سے باہر رکھیں۔

شراکت دار کے اخراج، شراکت دار کی طرف مشتبہ دخول، اور پالیسی تبدیلیوں اور بحالی کے لیے مالک مقرر کریں۔ راستہ بدلنے سے ایسے ہوسٹ پر اعتماد بحال نہیں ہوتا جو پہلے ہی متاثر ہو سکتا ہے، اس لیے منسوخی کو HSM کی شناخت تک بھی پہنچنا ہوگا۔

مکمل ہوا VPN ہینڈ شیک اسی ریکارڈ میں آتا ہے۔ وہ HSM کے لیے مخصوص ایک بھی نتیجے کا متبادل نہیں بن سکتا۔