Sistemska arhitektura

Povzetek. Ta stran opisuje komponente namestitve TrustBridge, njihove povezave in za vsako komponento varnostni profil: nalogo, varnostno mejo, potrebne pravice, izrecno prepovedane zmožnosti, dokaz identitete, tok podatkov in dostop do ključev, vedenje ob napakah in kompromitaciji, ponovni zagon in revizijo ter preostala tveganja. Namestitev ima dva dela: certifikatno agencijo z upravljanjem, vpisom in distribucijo na osrednjem mestu organizacije ter komponente na končnih točkah – agenta ključev, posrednika ključev in adapter TLS – na vsakem povezanem strežniku.

• Zaupanja vredna računalniška osnova (Trusted Computing Base, TCB) – množica komponent, katerih kompromitacija omogoči nepooblaščeno izdajo ali trditev o stanju.
• Naročilo – nespremenljiv, bajt za bajtom shranjen posnetek prihodnjega certifikata, preklica ali politike razmerja; identifikator je SHA-256 njegovih bajtov.
• Register – veriženi dnevnik delavca CA, v katerega se samo dodaja: namere, izdaje, zavrnitve, preklici in razmerja.
• Pravilnik – lokalna konfiguracijska datoteka delavca CA: dovoljene CA in razredi profilov, odobritelji, veljavnosti, dovoljene vsebine.
• Sveženj zaupanja – zbirka aktivnih razmerij organizacije z njihovimi sidri zaupanja in politikami, ki jo podpiše delavec CA; adapterji TLS in agenti ključev sprejmejo samo svežnje z veljavnim podpisom.
• Projekcija – kopija vpisa iz registra v podatkovni bazi za prikaz; ni zavezujoča.

Vsi diagrami uporabljajo isti vizualni jezik.

graph TD
  subgraph Z1 [Območje partnerjev in preverjevalcev]
    PS[Sistemi partnerjev]
    PR[Preverjevalci]
    PP[Odobritelji partnerjev]
  end
  subgraph Z2 [Območje spletnih storitev]
    AD[Protokolni adapterji<br/>ACME, EST]
    EK[Jedro vpisa<br/>atestacija]
    VW[Upravljanje<br/>upravljalni API]
    PO[Partnerski portal]
    VT[Distribucija<br/>AIA, CDP, svežnji zaupanja]
  end
  subgraph Z3 [Območje podatkov]
    DB[(SQL Server)]
  end
  subgraph Z4 [Območje podpisovanja, brez vhoda]
    WK[Delavec CA]
    HSM[HSM]
    REG[(Register)]
  end
  subgraph Z5 [Območje operative]
    ADM[Upravljalna aplikacija]
    ANK[(Zunanje sidro<br/>samo dodajanje)]
    ART[(Shramba artefaktov<br/>druga pot)]
  end
  subgraph Z6 [Brez povezave]
    RT[Korenska CA]
  end
  subgraph Z7 [Povezan strežnik]
    TLA[Adapter TLS]
    SA[Agent ključev in<br/>posrednik ključev]
  end
  PS -->|HTTPS| AD
  PP -->|HTTPS| PO
  AD --> EK
  EK -->|naročilo| DB
  ADM -->|HTTPS| VW
  PO --> VW
  VW -->|SQL| DB
  WK -->|odhodno: bere, piše| DB
  WK ==>|podpiše| HSM
  WK --> REG
  WK -->|odhodno| ART
  WK -->|glava verige| ANK
  DB --> VT
  ART --> VT
  PR -->|HTTP GET| VT
  TLA -->|seznami preklicanih, svežnji zaupanja| VT
  SA -->|obnova prek ACME ali EST| AD
  RT -.->|ceremonija| WK
  classDef tcb fill:#fde7e9,stroke:#a4262c,color:#201f1e
  classDef onl fill:#f3f2f1,stroke:#605e5c,color:#201f1e
  classDef off fill:#e1dfdd,stroke:#323130,color:#201f1e
  classDef par fill:#deecf9,stroke:#0078d4,color:#201f1e
  classDef pq fill:#dff6dd,stroke:#107c10,color:#201f1e
  class WK,HSM,REG,EK tcb
  class AD,VW,PO,VT,DB,ANK,ART,TLA onl
  class RT off
  class PS,PR,PP,ADM par
  class SA pq
  style Z1 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z2 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z3 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z4 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z5 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z6 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z7 fill:#ffffff,stroke:#8a8886,color:#201f1e

Ločitev procesov in računov. Upravljanje, partnerski portal, vpis in distribucija smejo v majhni namestitvi teči v enem procesu. Delavec CA nikoli: ne deli niti procesa niti računa operacijskega sistema s storitvijo, ki sprejema HTTP. Vsaka storitev se v podatkovno bazo prijavi z lastno prijavo, ki ima samo pravice za tabele, ki jih potrebuje.

V obeh različicah adapter TLS, agent ključev in posrednik ključev tečejo na vsakem povezanem strežniku ali na predhodnem strežniku v istem zaščitenem omrežnem segmentu. Ločitev procesa in računa operacijskega sistema med delavcem CA in storitvami HTTP je predpisana; lasten strežnik za delavca CA je priporočen.

• Določenega HSM. Zahteve so navedene zgoraj; dovoljen je vsak modul, ki jih izpolnjuje.
• Pooblastil povezanih aplikacij. Adapter TLS jim zagotovi preverjeno identiteto, odločitev ostane pri njih.
• Oskrbe kratkoživih delovnih obremenitev v podatkovnem centru z identitetami (na primer SPIFFE).