SmartCard-HSM (Ultrasafe) Integrationsleitfaden

Übersicht

Diese Anleitung beschreibt die Integration eines SmartCard-HSM-Geräts (Ultrasafe) mit CBOM Secure. Der HSM-Sensor verbindet sich über die OpenSC PKCS#11-Schnittstelle und führt eine schreibgeschützte Ermittlung von asymmetrischen und symmetrischen Schlüsseln, X.509-Zertifikaten, Datenobjekten und Schlüsselattributen (Algorithmus, Länge, Bezeichnung, CKA_ID, Nutzungsflags, Lebenszyklusstatus) durch. Er verwendet die Rolle „Crypto User“ und schreibt niemals auf das Gerät.

Voraussetzungen:

  • Ein SmartCard-HSM-Gerät ist angeschlossen und wird erkannt (USB-Lesegerät oder integrierter Steckplatz).
  • OpenSC ist installiert (opensc, opensc-pkcs11, libpcsclite-dev, pcscd) und pcscd läuft.
  • Das Gerät, das für opensc-tool –list-readers sichtbar ist.
  • Die PIN des Sicherheitsbeauftragten (SO) (zur Initialisierung / Erstellung einer Krypto-Benutzer-PIN).
  • sc-hsm-tool und pkcs11-tool verfügbar; der CBOM-Sensoragent ist auf dem Host installiert.

Schritt-für-Schritt-Anleitung

Schritt 1: (Erstmalige) Initialisierung des Geräts

Überspringen, falls das Gerät bereits mit aktiven SO- und Benutzer-PINs initialisiert wurde. Andernfalls:

sc-hsm-tool --initialize \ --so-pin --Stift --label "CBOM-HSM" # optional --dkek-shares 1 für Schlüsselsicherungsfunktion hinzufügen

Schritt 2: Legen Sie eine schreibgeschützte Krypto-Benutzer-PIN fest.

pkcs11-tool \ --module /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so \ --change-pin --login --pin --neuer-Pin

Bestätigen Sie, dass der Krypto-Benutzer Objekte aufzählen kann:

pkcs11-tool \ --module /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so \ --slot 0 --login --pin --list-objects

Schritt 3: Steckplatz und Bibliothek identifizieren, PC-/SC-Zugriff gewähren

pkcs11-tool --module /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so --list-slots # Beachten Sie den Slot-Index und die Token-Seriennummer (z. B. UTSC00000001) sudo usermod -aG plugdev cbom-agent sudo -u cbom-agent pkcs11-tool \ --module /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so --list-slots

Hinweis: Unter RHEL/CentOS befindet sich die Bibliothek unter /usr/lib64/pkcs11/opensc-pkcs11.so.

Schritt 4: Konfigurieren Sie den CBOM-Sicherheitssensor

Sensoren: - Name: Discover_HSM Typ: hsm aktiviert: true Verbindung: pkcs11_Modul: /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so Slot: 0 Token-Label: CBOM-HSM Token-Seriennummer: UTSC00000001 Authentifizierung: Benutzertyp: CKU_USER PIN-Umgebung: CBOM_HSM_USER_PIN Erkennung: Objekttypen: [private_keys, public_keys, symmetric_keys, certificates, data_objects] Attribute sammeln: [CKA_LABEL, CKA_ID, CKA_CLASS, CKA_KEY_TYPE, CKA_VALUE_LEN, CKA_MODULUS_BITS, CKA_EC_PARAMS, CKA_SIGN, CKA_VERIFY, CKA_EXTRACTABLE, CKA_SENSITIVE, CKA_START_DATE, CKA_END_DATE] Zeitplan: Intervall: 24h Ausgabe: Tags: { Gerätetyp: Smartcard-HSM, Hersteller: Ultrasafe } export CBOM_HSM_USER_PIN=" " sudo -E systemctl cbom-agent neu starten

Schritt 5: Validieren

cbom-agent sensor run --name Discover_HSM --dry-run

Prüfen Sie, ob das Modul geladen wird, das Token eine Verbindung herstellt, CKU_USER sich authentifiziert und Schlüssel/Zertifikate gefunden werden; überprüfen Sie dies unter Assets → Kryptografische Schlüssel, gefiltert nach Quelle: Discover_HSM.

Häufige Fehler

CKR_PIN_INCORRECT

Ursache: Die PIN-Variable stimmt nicht mit der Krypto-Benutzer-PIN überein oder wird nicht in die Agentenumgebung exportiert.

Lösung: CBOM_HSM_USER_PIN erneut exportieren und mit systemctl restart cbom-agent neu starten; überprüfen, ob es in der Umgebung des Agenten gesetzt ist.

PCSC-Fehler: Kein solches Gerät

Ursache: pcscd läuft nicht, das Lesegerät ist nicht angeschlossen oder der Agent hat keinen Lesezugriff.

Lösung: Starten Sie pcscd neu, überprüfen Sie dies mit opensc-tool –list-readers und stellen Sie sicher, dass sich cbom-agent in der Gruppe plugdev befindet.

CKR_SLOT_ID_INVALID

Ursache: Der Steckplatzindex hat sich nach einer erneuten USB-Enumeration geändert.

Lösung: Führen Sie –list-slots erneut aus oder verwenden Sie token_label / token_serial zur stabilen Identifizierung.

Sicherheitsempfehlungen

  • Verwenden Sie ausschließlich die Crypto User PIN, niemals die SO PIN, da diese die Gerätekonfiguration verändern kann.
  • Speichern Sie die PIN in einem Geheimnismanager und nicht in einem Shell-Profil oder einer Unit-Datei.
  • Beschränken Sie die Konfiguration auf das Agentenkonto (chmod 600).
  • Aktivieren Sie die PIN-Sperre (5 oder weniger Versuche) und halten Sie alle DKEK-Freigaben offline.
  • Beschränken Sie die Mitgliedschaft im Plugdev-Verzeichnis und überprüfen Sie die CBOM-Erkennungsprotokolle auf Authentifizierungsfehler.

Fazit

Der HSM-Sensor verbindet sich über OpenSC PKCS#11 mit dem SmartCard-HSM, authentifiziert sich als schreibgeschützter Krypto-Benutzer und listet alle Schlüsselobjekte, Zertifikate und Datenobjekte auf, wodurch ein kontinuierlich aktualisiertes kryptografisches Inventar in CBOM Secure bereitgestellt wird.