Primer: vključitev dobavitelja

Povzetek. Ta stran spremlja celoten potek od začetka do konca: naročnik v svojo dobavno verigo sprejme novega dobavitelja, dogovorita se za razmerje zaupanja, prvi sistem dobavitelja dobi certifikat in vzpostavi prvo zaščiteno povezavo z naročnikovim Database Gateway. Pozneje je en sistem kompromitiran in preklican, nazadnje pa se sodelovanje konča. Naročnik TrustBridge upravlja sam; dobavitelj, majhno podjetje, svojo namestitev prepusti operativnemu partnerju. Stran pokaže, kdo upravlja katere komponente in kdo je za kaj odgovoren.

Pojmi

Naročnik – podjetje, ki sprejema dobavitelje v svojo dobavno verigo in jim daje omejen dostop do svojih storitev.
Dobavitelj – partner, katerega sistemi dobijo certifikate iz lastne hierarhije.
Operativni partner – podjetje, ki v dogovorjenem obsegu upravlja dobaviteljevo namestitev.
Pogodba preverjevalca – pravila, ki se jih mora preverjevalec držati, da varnostne zaveze pri njem učinkujejo.
Prvo opremljanje – prva izdaja za sistem, pri kateri ga TrustBridge še ne more prepoznati po nobenem certifikatu.

Udeleženci

Vloga	V primeru	Model delovanja	Upravlja
Naročnik	proizvajalec H, Database Gateway `podatki.h.example`	Customer Managed	lastno namestitev TrustBridge, adapter TLS in agenta ključev pred Gatewayem
Dobavitelj	dobavitelj L, imenski prostor `l.example`, sistem `zaloga.l.example`	Managed	sisteme z lastnim ustvarjanjem ključev; osebne ključe za odobritev in skrbnike izmed svojih odgovornih oseb
Operativni partner	operativni partner P	–	namestitev za L: delavec CA, particija HSM, spletne storitve, nadzor

Odgovornosti

Naloga	Naročnik H	Dobavitelj L	Operativni partner P
Dogovor o razmerju	povabi, določi svojo smer, odobri	preveri sidro H, določi svojo smer, odobri	tehnično pripravi stran L
Postavitev namestitve za L	–	zagotovi skrbnike za ceremonijo korenske CA	izvede namestitev in ceremonijo
Ustvarjanje ključev sistemov	–	izvaja	–
Odobritev naročil L	–	izvaja	–
Adapter TLS in agent ključev pri L	–	zagotovi strežnik	namesti in nadzira
Pooblastila v Database Gateway	izvaja	–	–
Preklic ob kompromitaciji	po želji prekliče razmerje	prijavi, naroči preklic	izvede preklic
Konec sodelovanja	prekliče svojo smer	prekliče svojo smer	odstrani razmerje iz namestitve L

Potek do prve povezave

sequenceDiagram
  participant H as Naročnik H
  participant L as Dobavitelj L
  participant P as Operativni partner P
  participant SL as zaloga.l.example
  participant GH as Adapter TLS in Gateway H
  Note over H,P: Faza 1: namestitev pri L
  P->>P: namestitev, ključi v HSM
  L->>P: skrbniki in odobritelji za ceremonijo
  P->>P: korenska in izdajateljska CA za L z nameConstraints l.example
  Note over H,L: Faza 2: razmerje
  H->>L: povabilo s sidrom H in kontrolno vrednostjo
  L-->>H: potrditev kontrolne vrednosti po drugem kanalu, sidro L
  H->>H: smer H proti L: storitev podatki.h.example, namen, obvezna PQ, trajanje
  L->>L: smer L proti H: dovoli odgovor podatki.h.example
  Note over L,SL: Faza 3: prvi certifikat
  SL->>SL: ustvari par ključev
  SL->>P: CSR prek EST z enkratno vrednostjo
  L->>P: odobritev kot podpis zgoščene vrednosti naročila
  P-->>SL: certifikat in certifikat agenta
  Note over SL,GH: Faza 4: prva povezava
  SL->>GH: agenta se dogovorita za dodatno skrivnost
  SL->>GH: TLS 1.3 s certifikatom, PSK in hibridno skupino
  GH->>GH: veriga, nameConstraints, stanje preklica, politika
  GH->>GH: Gateway preveri pravilo za L
  GH-->>SL: odobreni podatki

Faza	Kritična točka	Kako jo reši TrustBridge
1 Namestitev	Operativni partner ne sme izdajati v imenu L	Odobritelji in skrbniki so izključno osebe iz L; particija HSM je dodeljena samo L
2 Razmerje	Sidra nasprotne strani ni dovoljeno zamenjati na poti	Kontrolna vrednost po drugem kanalu; sprejem samo z odobritvijo osebe
2 Razmerje	H naj odpre natanko to, kar L potrebuje	Politika za vsako smer: ena storitev, en namen, eno trajanje
3 Prvi certifikat	L mora dokazati, da je sistem pristen	Enkratna vrednost z rokom, predana odgovorni osebi po ločeni poti
4 Povezava	Certifikat ni pooblastilo	Gateway pooblasti vsako zahtevo po svojem pravilu

Tekoče delovanje

Certifikat sistema zaloga.l.example in certifikat njegovega agenta ključev se samodejno obnavljata prek EST, ko ostane še tretjina veljavnosti. Agenta ključev pri L in H skupno skrivnost obnovita vsakih deset minut; adapterja TLS povezavo zamenjata najpozneje po eni uri, ne da bi aplikacija pri L opazila prekinitev.

Kompromitacija in preklic

sequenceDiagram
  participant L as Dobavitelj L
  participant P as Operativni partner P
  participant W as Delavec CA za L
  participant H as Naročnik H
  participant GH as Adapter TLS H
  L->>P: prijava: zaloga.l.example je kompromitiran
  L->>P: odobreno naročilo za preklic
  P->>W: preklic sistemskega certifikata in certifikata agenta
  W->>W: preklic v registru, nov seznam preklicanih
  L->>H: obvestilo o incidentu
  GH->>GH: nov seznam prenesen, certifikat zavrnjen
  H->>H: po izbiri: razmerje začasno ustavljeno do razjasnitve

Najpozneje po naslednjem ciklu prenosa je certifikat pri H neuporaben. Če želi H ukrepati hitreje, začasno ustavi svojo smer razmerja; nov sveženj zaupanja takoj doseže njegove adapterje TLS. Če medtem izpade podatkovna baza pri L, P prekliče na konzoli gostitelja delavca CA za L, z odobritvijo osebe iz L.

Konec sodelovanja

H prekliče svojo smer razmerja. Od tega trenutka ni več novih povezav iz L; obstoječe se končajo v roku iz politike. Tudi L prekliče svojo smer. Certifikati L ostanejo veljavni za njegova razmerja z drugimi naročniki. Register in dnevniki povezav ostanejo pri obeh organizacijah kot dokaz.

Če L pozneje zamenja operativnega partnerja ali delovanje prevzame sam, v novem okolju nastane nova generacija CA; H njeno sidro sprejme v razmerje. Zasebni ključi se pri tem ne predajajo.

Različice vključitve

Različica	Potek	Delo pri naročniku
Dobavitelj z lastno namestitvijo (kot zgoraj)	dvostransko razmerje med dvema namestitvama	eno razmerje za vsakega dobavitelja
Dobavitelj brez lastne namestitve	H v svoji hierarhiji izda partnersko CA z omejitvijo imen na `l.example`; odgovorni pri L odobrijo prek partnerskega portala	ceremonija za partnersko CA; eno razmerje za vsakega dobavitelja
Dobavitelj z obstoječo podjetniško PKI	L v razmerje prinese sidro svoje PKI in udeležene sisteme opremi z adapterjem TLS in agentom ključev	preverjanje tujega sidra in njegove omejitve imen pred sprejemom

Pri tretji različici veljajo zaveze o odobritvi, registru in podatkih o stanju za certifikate, ki jih izda TrustBridge sam. Za izdajo v obstoječi PKI ostane njeno delovanje v odgovornosti dobavitelja.

Česa ta primer ne prikazuje

Pogodbenih ureditev med naročnikom, dobaviteljem in operativnim partnerjem.
Podrobnih pravil Database Gateway; opisuje jih dokumentacija Gatewaya.
Povezave več lokacij istega dobavitelja; sledi istemu vzorcu z enim imenskim prostorom za vsako lokacijo.