Home >

Контроль доступа пользователей

Безопасность HSM и его криптографического содержимого зависит от уровня контроля доступа в HSM. Политика контроля доступа определяется:

>набором пользователей (см. таблицу ниже), имеющих доступ кМодулю, HSM и партициям

>действиями, которые каждый пользователь уполномочен производить после входа (ролями пользователей)

Например, согласно стандарту PKCS#11, политика доступа требует наличия двух ролей: офицера безопасности ( security officer (SO)), в функции которого входит управление пользовательскими эккаунтами, и стандартного пользователя, который осуществляет криптографические операции. Когда пользователь заходит в HSM, ему разрешается производить только те операции, которые предусмотрены для его роли.

Доступ в SafeNet Luna Network HSM контролируется с помощью расширенной версии иерархии ролей по PKCS#11. Пользователю каждой роли разрешено выполнять только определенный для этой роли набор команд:

Пользователи и роли для управления Модулем

SafeNet Luna Network HSM представляет собой криптоадаптер (HSM), установленный в корпус, электроника которого управляется укрепленной операционной системой, доступ к которой производится через интерфейс командной строки LunaSH. Администрирование модуля (включая сетевые настройки, управление файлами, системными журналами) отделено от администрирования HSM и его криптографическим функционалом. Такое разделение чрезвычайно важно для обеспечения безопасности и позволяет легко разделять обязанности и ответственность между сотрудниками.

Хотя, согласно стандарту PKCS#11, разделение ролей на уровне доступа к модулю и не рассматривается в качестве меры безопасности, необходимость аутентификации пользователя сначала при входе в модуль, и уже затем - в HSM, безусловно добавляет еще один уровень защиты.

Когда пользователь заходит в интерфейс LunaSH модуля с определенной ролью, ему виден только тот набор команд, который ассоциируется с этой ролью. Пользователь с уровнем доступа admin-может создавать специальные роли с ограниченным набором команд и доступных операций.

Таблица 1: Стандартные Роли доступа к модулю
Роль	Функция
admin	>Может выполнять все задачи по администрированию и конфигурированию модуля >При заходе с учетными данными Офицера безопасности (HSM Security Officer), может выполнять все задачи по администрированию HSM >Активирует другие опциональные роли пользователей модуля и устанавливает/переустанавливает их пароли. >Создает кастомизированные роли с доступом к определенному им набору команд >Создает соединения NTLS между модулем SafeNet Luna Network HSM и клиентами HSM
operator	>Может выполнять задачи по администрированию модуля, за исключением некоторых задач по конфигурированию >При заходе с учетными данными Офицера безопасности (HSM Security Officer), может выполнять некоторые простые задачи по администрированию HSM >Не имеет доступа к командам, которые могут изменять другие роли
monitor	>Имеет доступ к командам, относящимся к получению информации о состоянии модуля и HSM >Не может изменять состояние или данные модуля и HSM
audit	>Инициализирует роль Аудитора (Auditor) HSM >При заходе с учетными данными Аудитора, управляет лог-файлами HSM

Роли уровня HSM

Пользователям с ролями уровня HSM отводятся функции администрирования, конфигурирования и аудита криптоадаптера (HSM), установленного в модуль SafeNet Luna Network HSM. После того, как Вы получили доступ к интерфейсу LunaSH, зайдя в модуль с определенной ролью, Вам становятся доступны команды, набор которых определяется уже той ролью, которую Вы исполняете на уровне HSM. Пользователи с ролями уровня HSM не могут выполнять криптографические операции на партициях, отведенных приложениям.

Таблица 2: Роли HSM
HSM Security Officer (SO) Ключ PED: Голубой	>Инициализирует HSM, создает учетную запись SO >Создает/удаляет партиции для приложений >Настраивает общие политики HSM >Выполняет обновление прошивки HSM и ПО модуля >Для выполнения всех задач HSM должен иметь уровень доступа admin
Auditor (AU) Ключ PED: Белый	>Управляет лог-файлами аудита HSM >Для выполнения задач аудита должен иметь доступа к модулю уровня audit

Роли уровня партиций (Partition)

Пользователи с ролями уровня партиций имеют полномочия администрировать и конфигурировать партиции, выделенные приложениям, и производить криптографические операции на этих партициях. Эти пользователи авторизуются через LunaCM, или, пользуясь своими учетными данными через приложения. Партиция работает как виртуальный HSM со своим собственным набором ролей.

Таблица 3: Роли уровня партиций
Офицер Безопасности партиции (Partition Security Officer (PO)) Ключ PED: Голубой	>Инициализирует партицию, создавая учетные данные PO и домен клонирования >Инициализирует роль Crypto Officer; имеет полномочия на переустановку учетных данных (если это разрешено политиками HSM) >Настраивает политики партиции
Crypto Officer (CO) Ключ PED: Черный	>Создает и изменяет криптографические объекты на партиции >Управляет операциями создания резервных копий и восстановления >Выполняет криптографические операции через рользовательское приложение >Создает и настраивает группы высокой доступности HA >Инициализирует роль Крипто пользователя (Crypto User) и полномочен переустанавливать учетную запись CU
Крипто пользователь (CU) Ключ PED: Серый	>Выполняет криптографические операции через пользовательские приложения (опциональная роль с правами только на чтение) >Может создавать только общедоступные объекты >Может выполнять операции создания/восстановления резервных копий общедоступных объектов.