Feitian ePass Integrationsleitfaden

Übersicht

Diese Anleitung konfiguriert den CBOM Secure Discover_HSM-Sensor (PKCS#11-Modus) für die Verbindung mit Feitian ePass-Hardware-Tokens (ePass2003, ePass3000, FIDO2). Er erkennt diese Tokens im Lesemodus und ohne PIN.

  • X.509-Zertifikate – Endbenutzer- und Zwischenzertifikate auf Token-Slots
  • RSA- und EC-öffentliche Schlüssel – asymmetrische öffentliche Schlüsselobjekte
  • Wichtige Metadaten – Typ, Größe, Bezeichnung, ID und Zertifikatsverknüpfung
  • Slot- und Token-Inventar – Hersteller, Firmware-Version, Slot-Anzahl, Flags

Private-Key-Objekte werden bei der Erkennung übersprungen; es ist keine PIN erforderlich und es werden keine Operationen mit dem privaten Schlüssel durchgeführt.

Voraussetzungen:

  1. Ein Linux-Host (Ubuntu 20.04+ oder RHEL 8+) mit installiertem CBOM-Sensoragenten.
  2. Ein oder mehrere Feitian ePass-Token, die über USB oder einen Smartcard-Leser verbunden sind.
  3. Die Feitian ePass Middleware ist installiert (stellt die PKCS#11-Bibliothek bereit).
  4. Die PKCS#11-Bibliothek ist vorhanden (/usr/lib/libePass2003.so oder /usr/lib/libgtop11dotnet.so).
  5. Die Pakete opensc und pcsc-lite wurden für die PCSC-Daemon-Unterstützung installiert.
  6. Der Sensorbenutzer hat über pcscd Zugriff auf USB-Geräteknoten (kein Root zur Laufzeit).

Schritt-für-Schritt-Anleitung

Schritt 1: PC/SC und Feitian Middleware installieren

sudo apt-get update sudo apt-get install -y pcscd pcsc-tools opensc libpcsclite-dev sudo systemctl enable pcscd && sudo systemctl start pcscd # Installieren des Feitian PKCS#11 Middleware-Pakets: sudo dpkg -i ePass2003-pkcs11-linux-x86_64.deb ls -lh /usr/lib/libePass2003.so

Schritt 2: Token-Erkennung überprüfen

Geben Sie das Token ein und listen Sie Slots und öffentliche Objekte auf (keine PIN erforderlich):

pkcs11-tool --module /usr/lib/libePass2003.so --list-slots pkcs11-tool --module /usr/lib/libePass2003.so --list-objects # Zertifikatsobjekt untersuchen: pkcs11-tool --module /usr/lib/libePass2003.so --read-object --type cert --id 01 \ | openssl x509 -inform DER -text -noout

Hinweis: die Slotnummer und die Token-Bezeichnung für die Sensorkonfiguration.

Schritt 3: Hostberechtigungen konfigurieren

id cbom-agent sudo usermod -aG pcscd cbom-agent sudo systemctl restart cbom-agent

Schritt 4: Konfigurieren Sie den CBOM-Sicherheitssensor

Sensoren: - Name: feitian-epass-pkcs11 Typ: Discover_HSM Modus: pkcs11 aktiviert: true pkcs11: Bibliothekspfad: /usr/lib/libePass2003.so Slot-ID: 0 Token-Bezeichnung: "MyTokenLabel" Benutzer-PIN: "" # Leer lassen — nur öffentliche Objekte discover_objects: [Zertifikate, öffentliche Schlüssel] private_Schlüssel überspringen: true Zeitplan: Intervall: 6h Ausgabe: Endpunkt: https://cbom.example.internal/api/v1/ingest tls_verify: true Tags: { Token-Anbieter: feitian, Token-Modell: ePass2003 }

sudo systemctl cbom-agent neu laden

Schritt 5: Validieren

cbom-agent discover --sensor feitian-epass-pkcs11 --verbose sudo journalctl -u cbom-agent -f | grep feitian-epass-pkcs11

Prüfen Sie, ob der Slot verbunden ist und Zertifikate/öffentliche Schlüssel gefunden wurden. Die Asset-Liste für diesen Sensor sollte nur Zertifikate und öffentliche Schlüssel enthalten – keine privaten Schlüssel.

Häufige Fehler

PKCS#11-Bibliothek nicht gefunden

Ursache: Die Feitian-Middleware ist nicht installiert oder die Bibliothek befindet sich in einem nicht standardmäßigen Pfad.

Lösung: Suchen Sie die Datei (find /usr /lib /opt -name libePass2003.so) und aktualisieren Sie library_path oder installieren Sie die Middleware neu.

Keine Slots verfügbar / Token nicht erkannt

Ursache: pcscd läuft nicht, das Token ist nicht verbunden oder ein Treiber fehlt.

Lösung: Starten Sie pcscd neu, überprüfen Sie dies mit lsusb | grep -i feitian, versuchen Sie es mit einem anderen USB-Anschluss und führen Sie –list-slots erneut aus.

CKR_TOKEN_NOT_RECOGNIZED

Ursache: Das Token-Modell benötigt eine andere Bibliothek (z. B. ePass3000 → libgtop11dotnet.so), oder das Token ist gesperrt.

Lösung: Versuchen Sie den alternativen Bibliothekspfad und aktualisieren Sie library_path; entsperren Sie das Token mit der SO-PIN, falls es gesperrt ist.

Sicherheitsempfehlungen

  • Konfigurieren Sie niemals eine Benutzer-PIN in der Sensor-YAML-Datei, es werden nur öffentliche Objekte benötigt.
  • Um den API-Schlüssel zu schützen, beschränken Sie die Sensorkonfiguration auf 0600, die dem cbom-agent gehört.
  • Aktivieren Sie die TLS-Verifizierung (tls_verify: true) für alle Plattformverbindungen.
  • Sichern Sie den Token-Host physisch und überprüfen Sie die pcscd-Gruppenmitgliedschaft.
  • Rotieren Sie den CBOM-API-Schlüssel regelmäßig und speichern Sie ihn nach Möglichkeit in einem Geheimnismanager.

Fazit

Im PKCS#11-Modus bietet der Discover_HSM-Sensor kontinuierliche, schreibgeschützte Einblicksmöglichkeit in Zertifikate und öffentliche Schlüssel auf Feitian ePass-Tokens und deckt dabei die PKI- und Identitätstoken-Infrastruktur ab, ohne jemals private Schlüsselmaterialien zu berühren. Die ermittelten Assets werden planmäßig an CBOM Secure übermittelt.