Guía de integración de Feitian ePass

Resumen

Esta guía configura el sensor CBOM Secure Discover_HSM (modo PKCS#11) para conectarse a los tokens de hardware Feitian ePass (ePass2003, ePass3000, FIDO2). Descubre, en modo de solo lectura y sin PIN:

  • Certificados X.509: certificados de entidad final e intermedios en ranuras de tokens.
  • Claves públicas RSA y EC: objetos de clave pública asimétrica
  • Metadatos clave: tipo, tamaño, etiqueta, ID y enlace con el certificado.
  • Inventario de ranuras y tokens: fabricante, versión de firmware, número de ranuras, indicadores.

Los objetos de clave privada se omiten durante el proceso de descubrimiento; no se requiere PIN y no se realizan operaciones con clave privada.

Requisitos previos

  1. Un sistema Linux (Ubuntu 20.04+ o RHEL 8+) con el agente del sensor CBOM instalado.
  2. Uno o más dispositivos Feitian ePass conectados mediante USB o un lector de tarjetas inteligentes.
  3. Se ha instalado el middleware Feitian ePass (que proporciona la biblioteca PKCS#11).
  4. La biblioteca PKCS#11 está presente (/usr/lib/libePass2003.so o /usr/lib/libgtop11dotnet.so).
  5. Los paquetes opensc y pcsc-lite se instalaron para dar soporte al demonio PCSC.
  6. El usuario del sensor tiene acceso a los nodos del dispositivo USB a través de pcscd (sin privilegios de administrador en tiempo de ejecución).

Guía paso por paso

Paso 1: Instalar PC/SC y el middleware Feitian

sudo apt-get update sudo apt-get install -y pcscd pcsc-tools opensc libpcsclite-dev sudo systemctl enable pcscd && sudo systemctl start pcscd # Instalar el paquete de middleware Feitian PKCS#11: sudo dpkg -i ePass2003-pkcs11-linux-x86_64.deb ls -lh /usr/lib/libePass2003.so

Paso 2: Verificar la detección del token

Inserta el token y lista las ranuras y los objetos públicos (no se requiere PIN):

pkcs11-tool --module /usr/lib/libePass2003.so --list-slots pkcs11-tool --module /usr/lib/libePass2003.so --list-objects # inspeccionar un objeto de certificado: pkcs11-tool --module /usr/lib/libePass2003.so --read-object --type cert --id 01 \ | openssl x509 -inform DER -text -noout

Nota: el número de ranura y la etiqueta del token para la configuración del sensor.

Paso 3: Configurar permisos de host

id cbom-agent sudo usermod -aG pcscd cbom-agent sudo systemctl reiniciar cbom-agent

Paso 4: Configurar el sensor de seguridad CBOM

sensores: - nombre: feitian-epass-pkcs11 tipo: Discover_HSM modo: pkcs11 habilitado: verdadero pkcs11: library_path: /usr/lib/libePass2003.so slot_id: 0 token_label: "MyTokenLabel" user_pin: "" # dejar en blanco — solo objetos públicos discover_objects: [certificados, claves públicas] skip_private_keys: verdadero programación: intervalo: 6h salida: endpoint: https://cbom.example.internal/api/v1/ingest tls_verify: verdadero etiquetas: { token_vendor: feitian, token_model: ePass2003 }

sudo systemctl recarga cbom-agent

Paso 5: Validar

cbom-agent discover --sensor feitian-epass-pkcs11 --verbose sudo journalctl -u cbom-agent -f | grep feitian-epass-pkcs11

Confirme que la ranura se conecta y que se detectan los certificados/claves públicas. La lista de activos de este sensor solo debe contener objetos de tipo Certificado y Clave pública; no debe contener claves privadas.

Errores comunes

No se encontró la biblioteca PKCS#11.

Causa: El middleware Feitian no está instalado o la biblioteca se encuentra en una ruta no estándar.

Solución: Localícelo (busque /usr /lib /opt -name libePass2003.so) y actualice library_path, o reinstale el middleware.

No hay ranuras disponibles / No se detectó el token

Causa: pcscd no se está ejecutando, el token no está conectado o falta un controlador.

Solución: Reinicie pcscd, confirme con lsusb | grep -i feitian, pruebe con otro puerto USB y vuelva a ejecutar –list-slots.

CKR_TOKEN_NO_RECONOCIDO

Causa: El modelo de token necesita una biblioteca diferente (por ejemplo, ePass3000 → libgtop11dotnet.so), o el token está bloqueado.

Solución: Pruebe la ruta de biblioteca alternativa y actualice library_path; desbloquee el token con el PIN de SO si está bloqueado.

Recomendaciones de seguridad

  • Nunca configure un PIN de usuario en el archivo YAML del sensor; solo se necesitan objetos públicos.
  • Restrinja la configuración del sensor al puerto 0600, propiedad de cbom-agent, para proteger la clave API.
  • Habilite la verificación TLS (tls_verify: true) para todas las conexiones de la plataforma.
  • Proteja físicamente el host del token y audite la pertenencia al grupo pcscd.
  • Rote la clave API de CBOM periódicamente y, si es posible, guárdela en un gestor de secretos.

Conclusión

En el modo PKCS#11, el sensor Discover_HSM proporciona visibilidad continua y de solo lectura de los certificados y las claves públicas en los tokens Feitian ePass, cubriendo la infraestructura PKI y de tokens de identidad sin tocar nunca el material de clave privada, y envía los activos descubiertos a CBOM Secure según lo programado.