Handleiding voor de integratie van Feitian ePass

Overzicht

Deze handleiding beschrijft hoe u de CBOM Secure Discover_HSM-sensor (PKCS#11-modus) configureert om verbinding te maken met Feitian ePass-hardwaretokens (ePass2003, ePass3000, FIDO2). De sensor detecteert de volgende apparaten, alleen-lezen en zonder pincode:

  • X.509-certificaten — eindentiteits- en tussenliggende certificaten op token-slots
  • RSA- en EC-publieke sleutels — asymmetrische publieke sleutelobjecten
  • Belangrijke metadata — type, grootte, label, ID en certificaatkoppeling
  • Slot- en tokeninventaris — fabrikant, firmwareversie, aantal slots, vlaggen

Tijdens het ontdekkingsproces worden objecten met privésleutels overgeslagen; er is geen pincode vereist en er worden geen bewerkingen met privésleutels uitgevoerd.

Voorwaarden

  1. Een Linux-host (Ubuntu 20.04+ of RHEL 8+) met de CBOM-sensoragent geïnstalleerd.
  2. Een of meer Feitian ePass-tokens aangesloten via USB of een smartcardlezer.
  3. De Feitian ePass middleware is geïnstalleerd (en levert de PKCS#11-bibliotheek).
  4. De PKCS#11-bibliotheek is aanwezig (/usr/lib/libePass2003.so of /usr/lib/libgtop11dotnet.so).
  5. De pakketten opensc en pcsc-lite zijn geïnstalleerd ter ondersteuning van de PCSC-daemon.
  6. De sensorgebruiker heeft via pcscd toegang tot USB-apparaatknooppunten (geen root-toegang tijdens runtime).

Stapsgewijze handleiding

Stap 1: Installeer PC/SC en Feitian Middleware

sudo apt-get update sudo apt-get install -y pcscd pcsc-tools opensc libpcsclite-dev sudo systemctl enable pcscd && sudo systemctl start pcscd # Installeer het Feitian PKCS#11 middlewarepakket: sudo dpkg -i ePass2003-pkcs11-linux-x86_64.deb ls -lh /usr/lib/libePass2003.so

Stap 2: Controleer de tokendetectie

Voer het token in en toon de beschikbare slots en openbare objecten (geen pincode vereist):

pkcs11-tool --module /usr/lib/libePass2003.so --list-slots pkcs11-tool --module /usr/lib/libePass2003.so --list-objects # Een certificaatobject inspecteren: pkcs11-tool --module /usr/lib/libePass2003.so --read-object --type cert --id 01 \ | openssl x509 -inform DER -text -noout

Let op: het slotnummer en het tokenlabel voor de sensorconfiguratie.

Stap 3: Hostmachtigingen configureren

id cbom-agent sudo usermod -aG pcscd cbom-agent sudo systemctl herstart cbom-agent

Stap 4: Configureer de CBOM Secure Sensor

Sensoren: - naam: feitian-epass-pkcs11 type: Discover_HSM modus: pkcs11 ingeschakeld: true pkcs11: bibliotheekpad: /usr/lib/libePass2003.so slot-id: 0 tokenlabel: "MyTokenLabel" gebruikerspincode: "" # leeg laten — alleen openbare objecten ontdekken objecten: [certificaten, openbare sleutels] privésleutels overslaan: true schema: interval: 6 uur uitvoer: eindpunt: https://cbom.example.internal/api/v1/ingest tls-verificatie: true tags: { tokenleverancier: feitian, tokenmodel: ePass2003 }

sudo systemctl cbom-agent opnieuw laden

Stap 5: Valideren

cbom-agent discover --sensor feitian-epass-pkcs11 --verbose sudo journalctl -u cbom-agent -f | grep feitian-epass-pkcs11

Controleer of de sleuf verbinding maakt en of de certificaten/openbare sleutels worden gevonden. De lijst met assets voor deze sensor mag alleen objecten van het type Certificaat en Openbare Sleutel bevatten, geen privésleutels.

Veel voorkomende fouten

PKCS#11-bibliotheek niet gevonden

Oorzaak: De Feitian-middleware is niet geïnstalleerd, of de bibliotheek bevindt zich op een niet-standaard pad.

Oplossing: Zoek het bestand op (find /usr /lib /opt -name libePass2003.so) en werk het library_path bij, of installeer de middleware opnieuw.

Geen beschikbare slots / token niet gedetecteerd

Oorzaak: pcscd draait niet, het token is niet verbonden of er ontbreekt een stuurprogramma.

Oplossing: Herstart pcscd, controleer met lsusb | grep -i feitian, probeer een andere USB-poort en voer –list-slots opnieuw uit.

CKR_TOKEN_NIET_HERKENNEN

Oorzaak: Het tokenmodel vereist een andere bibliotheek (bijv. ePass3000 → libgtop11dotnet.so), of het token is vergrendeld.

Oplossing: Probeer het alternatieve bibliotheekpad en werk library_path bij; ontgrendel het token met de SO PIN als het vergrendeld is.

Beveiligingsaanbevelingen

  • Configureer nooit een gebruikers-PIN in het sensor-YAML-bestand; alleen openbare objecten zijn nodig.
  • Beperk de sensorconfiguratie tot 0600, eigendom van cbom-agent, om de API-sleutel te beschermen.
  • Schakel TLS-verificatie (tls_verify: true) in voor alle platformverbindingen.
  • Beveilig de tokenhost fysiek en controleer het lidmaatschap van de pcscd-groep.
  • Vervang de CBOM API-sleutel volgens een vast schema en bewaar deze indien mogelijk in een secrets manager.

Conclusie

In PKCS#11-modus biedt de Discover_HSM-sensor continue, alleen-lezen inzage in certificaten en publieke sleutels op Feitian ePass-tokens, waarmee PKI- en identiteitstokeninfrastructuur wordt afgedekt zonder ooit privé-sleutelmateriaal aan te raken, en verzendt ontdekte activa volgens schema naar CBOM Secure.