Wie integriert man ein Thales-Hardware-Sicherheitsmodul und einen CipherTrust Manager: Vor Ort?

Bei der Arbeit mit verschiedenen Sicherheitsprodukten stößt man häufig auf Hardware-Sicherheitsmodule (HSMs). HSMs dienen der sicheren Speicherung von Verschlüsselungsschlüsseln für Anwendungen oder Benutzer. Das Thales Luna HSM ist als On-Premises-, Cloud- oder On-Demand-Gerät erhältlich; wir konzentrieren uns hier jedoch auf die On-Demand-Version.

Eine weitere Option für das Thales Luna HSM ist eine PED-authentifizierte Version im Vergleich zur passwortauthentifizierten Version. Das PED-authentifizierte Hardware-Sicherheitsmodul verwendet ein PED-Gerät mit beschrifteten Schlüsseln für die Rollen innerhalb des HSM, wobei die PINs den PED-Schlüsseln entsprechen. Dadurch wird eine Rollentrennung zwischen den verschiedenen Rollen auf dem HSM erreicht. Die passwortauthentifizierte Version erfordert lediglich die Eingabe eines Passworts; ein PED-Gerät ist nicht erforderlich. Diese Anleitung gilt für beide HSM-Typen.  

Der CipherTrust Manager von Thales fungiert als zentrales Schlüsselverwaltungsgerät und ermöglicht Benutzern das Generieren, Verwalten, Löschen, Exportieren und Importieren von Verschlüsselungsschlüsseln für Client- und Anwendungsanwendungen. Parallel zum CipherTrust Manager (CM) kann ein HSM installiert werden, das die vom CM verwendeten Schlüssel speichert.

Dem CM stehen die gleichen Optionen wie dem Luna HSM zur Verfügung. Handelt es sich jedoch um ein PED-authentifiziertes HSM, muss auch der CM PED-authentifiziert sein. Dieselbe Regel gilt für passwortauthentifizierte HSMs. Bevor wir mit den Integrationsschritten beginnen, müssen einige Schritte vor der Integration besprochen werden.  

Schritte vor der Integration 

Vor der Integration eines HSM und CM müssen einige Schritte im Prozess durchgeführt werden. Die wichtigste Aufgabe, die im Vorfeld erledigt werden muss, besteht darin, sicherzustellen, dass sowohl das HSM als auch das CM vollständig konfiguriert wurden. Dazu gehören die Netzwerkkonfiguration, die SSH-Konfiguration und die Einrichtung des NTP-Servers.

Bei der Integration eines Hardware-Sicherheitsmoduls und eines CipherTrust Managers müssen diese denselben NTP-Server (Network Time Protocol) verwenden, damit die Uhrzeiten beider Geräte identisch sind. Darüber hinaus muss das HSM vom CM über das Netzwerk erreichbar sein. Dies bedeutet, dass sich CM und HSM im selben Subnetz befinden müssen, damit das Pingen und der Zugriff auf das HSM vom CM aus erfolgen können.

Außerdem ist der Fernzugriff auf HSM und CM wichtig, da die Arbeit in einem Rechenzentrum mit CM und HSM schnell unübersichtlich werden kann. Daher ist der Fernzugriff auf die Geräte unerlässlich. Die Konfiguration von HSM und CM wird in diesem Leitfaden nicht behandelt, da dies ein komplexer Prozess ist, bei dem Sie sich an www.encryptionconsulting.com wenden können . Stattdessen konzentrieren wir uns auf die wichtigsten Schritte der Integration eines Hardware-Sicherheitsmoduls und eines CipherTrust Managers.

Voraussetzungen

Bei der Durchführung dieser Integrationsschritte sollten Sie zunächst sicherstellen, dass verschiedene Elemente vorhanden sind und ordnungsgemäß funktionieren. Stellen Sie zunächst sicher, dass der CM das HSM erreichen kann. Dies kann in mehreren Schritten erfolgen. Am einfachsten ist es jedoch, per SSH auf den CM zuzugreifen und die IP-Adresse des HSM anzupingen. So stellen Sie sicher, dass die Kommunikation zwischen HSM und CM reibungslos funktioniert.

Ein weiterer Schritt besteht darin, sicherzustellen, dass beide Geräte auf die neueste Software- und Firmware-Version aktualisiert sind. Dadurch wird sichergestellt, dass alle erforderlichen Sicherheitspatches implementiert werden. Ein letzter Schritt besteht darin, sicherzustellen, dass der NTP-Server mit beiden Geräten ordnungsgemäß funktioniert. Ohne ordnungsgemäß funktionierende NTP-Server schlägt die Integration der beiden Geräte fehl.  

Schritte zur HSM-Integration 

Um mit der Integration von HSM und CM zu beginnen, müssen zunächst Zertifikate erstellt werden. Dies kann über den mit dem HSM verwendeten Lunaclient erfolgen. Diese Software wird vom Thales Knowledge Center heruntergeladen, wenn Sie sich über das Kundensupport-Portal anmelden. Sobald der Lunaclient heruntergeladen ist, müssen Sie den folgenden Befehl ausführen: 

cd „C:\Programme\Safenet\lunaclient“ 

Von hier aus können Sie den Befehl `vtl createcert -n <Zertifikatsname>` ausführen. Dadurch werden ein Zertifikat und ein privater Schlüssel im Verzeichnis `C:\Program Files\Safenet\lunaclient\cert\client` erstellt. Im selben Verzeichnis `lunaclient` muss für jedes zu integrierende HSM der Befehl `pscp.exe admin@<HSM_IP>:server.pem server_<HSM-Hostname>.pem` ausgeführt werden.

Dadurch werden die Serverzertifikate jedes HSM unter dem Namen server_<HSM-Hostname>.pem in das Verzeichnis lunaclient übertragen. Wir verwenden einen anderen Namen als server.pem, da bei der Integration mehrerer HSMs die alten server.pem-Zertifikate durch die importierten neuen ersetzt würden. Nachdem Sie nun alle diese Informationen haben, benötigen wir die Partitionsbezeichnung und die Partitionsseriennummer der mit dem CM verbundenen Partitionen. Dies geschieht durch eine SSH-Verbindung zum HSM mit dem Befehl ssh admin@<HSM-IP>.

Nach der Anmeldung kann der Befehl `par list` ausgeführt werden, um alle Partitionen des HSM, die Seriennummern und die Partitionsbezeichnungen anzuzeigen. Sobald diese notiert sind, muss der CM mithilfe des erstellten Zertifikats als Client des HSM konfiguriert werden. Dies geschieht durch Übertragen der Zertifikatsdatei vom Clientgerät auf das HSM mit folgendem Befehl aus dem Verzeichnis `lunaclient` :

pscp.exe ./cert/client/ .pem admin@

Nachdem sich das Clientzertifikat auf dem HSM befindet, muss der Client mit dem Befehl ` client register -n <Name des Clients> -h <Name des Clientzertifikats ohne die Endung .pem>` registriert werden. Nach erfolgreicher Registrierung muss dem Client eine Partition zugewiesen werden.

Client-Assignpartition -c -P .

Diese Schritte sollten für jedes zu integrierende HSM durchgeführt werden.  

CM-Integrationsschritte 

Nachdem der CM als Client des HSM eingerichtet wurde, müssen wir diese Dateien direkt mit dem CM verbinden. Dazu müssen wir uns über eine der während der Netzwerkkonfiguration festgelegten IP-Adressen an der GUI des CipherTrust Managers anmelden. Sobald wir die Webseite https://<IP des CM> aufgerufen haben, können wir uns anmelden und zu „Admin-Einstellungen“ > „HSM“ navigieren.

Von hier aus folgen wir den Anweisungen. Wir benötigen die HSM-IP-Adresse, das HSM-Serverzertifikat, das Client-Zertifikat und den Schlüssel, die Partitionsbezeichnung und die Partitionsseriennummer. Für die Zertifikate müssen Sie den Inhalt dieser Dateien öffnen, kopieren und in die GUI einfügen. Zusätzlich muss das Crypto Officer-Passwort für die Partition angegeben werden.  

Sobald diese bereitgestellt sind, fragt die GUI, ob Sie die Schlüssel in der Partition in der gesamten Umgebung replizieren möchten. Wählen Sie diese Option mit „Ja“, da die Daten in den Partitionen sonst verloren gehen. Anschließend startet der CM sich und seine Dienste neu und stellt so sicher, dass er eine ordnungsgemäße Verbindung zum HSM herstellen kann.

Nach dem Neustart können Sie sich wieder in die GUI einloggen und sehen, dass das HSM nun integriert ist. Von hier aus können Sie weitere HSMs zur Integration hinzufügen. Sie benötigen lediglich das Partitionskennwort, die Seriennummer, die Bezeichnung, die HSM-IP und das HSM-Serverzertifikat. Jetzt haben Sie alle Ihre HSMs erfolgreich in Ihren Cipher Trust Manager integriert! 

Bekannte Probleme und Problemumgehungen 

Problem: HSM-Siegel nicht über die CM-Benutzeroberfläche erreichbar.

Lösung: Wenn beim Verbindungsversuch zur GUI eine Fehlermeldung erscheint, dass das HSM-Siegel nicht abgerufen werden konnte, liegt wahrscheinlich ein Problem mit Ihrem Clientzertifikat vor. Beim Erstellen von Zertifikaten mit `vtl createcert` tritt selten ein Fehler auf , der dazu führt, dass ein Zertifikat für elf Tage anstatt zehn Jahre ausgestellt wird. Ändern Sie die Dateiendung Ihres Clientzertifikats in `.cert` und überprüfen Sie das Ablaufdatum.

Sie müssen sich per SSH mit dem CM verbinden und den Befehl ` kscfg system reset` ausführen . Die HSM-Konfigurationen gehen dabei verloren, die SSH- und Netzwerkkonfigurationen bleiben jedoch erhalten. Anschließend müssen Sie die Schritte zum Erstellen eines HSM-Clients mit einem neuen Zertifikat erneut durchführen.

Problem: IP-Adresse für die Benutzeroberfläche nicht erreichbar

Lösung: Falls Sie nach dem Software-Update des CM Ihre IP-Adressen nicht erreichen können, müssen Sie jeder Schnittstelle dieselbe IP-Adresse zuweisen, bis die richtige gefunden ist. Das Problem besteht darin, dass beim Update von Version 2.0 auf Version 2.9 ein Fehler auftritt, der die MAC-Adressen der Netzwerkschnittstellen fälschlicherweise ändern kann.

Sie geben möglicherweise an, Schnittstelle 1 oder 0 zu sein, sind aber tatsächlich Schnittstelle 2 oder 3. Dies kann behoben werden, indem Sie auf jeder Schnittstelle dieselbe IP-Adresse ausprobieren, bis sie ordnungsgemäß funktioniert und Sie eine Verbindung herstellen können.  

Fazit 

Wie bereits erwähnt, sind wir hier nicht näher auf die allgemeine Konfiguration von HSM und CM eingegangen. Diese können Sie selbst oder mit unserer Unterstützung vornehmen. Für Konfigurationshilfe oder Unterstützung besuchen Sie unsere Website www.encryptionconsulting.com . Wir unterstützen Sie gerne bei der Bewertung, Planung und Implementierung von HSMs, PKIs , CMs und bieten Beratung im Bereich Verschlüsselung.