Integratiehandleiding SmartCard-HSM (Ultrasafe)

Overzicht

Deze handleiding beschrijft de integratie van een SmartCard-HSM (Ultrasafe) apparaat met CBOM Secure. De HSM Sensor maakt verbinding via de OpenSC PKCS#11-interface en voert alleen-lezen detectie uit van asymmetrische en symmetrische sleutels, X.509-certificaten, dataobjecten en sleutelkenmerken (algoritme, lengte, label, CKA_ID, gebruiksflags, levenscyclusstatus). Het apparaat gebruikt de Crypto User-rol en schrijft nooit naar het apparaat.

Voorwaarden

  • Een SmartCard-HSM-apparaat is aangesloten en wordt herkend (USB-lezer of geïntegreerd slot).
  • OpenSC is geïnstalleerd (opensc, opensc-pkcs11, libpcsclite-dev, pcscd) en pcscd draait.
  • Het apparaat dat zichtbaar is voor opensc-tool –list-readers.
  • De PIN-code van de beveiligingsfunctionaris (SO) (voor het initialiseren/aanmaken van een Crypto-gebruikers-PIN).
  • sc-hsm-tool en pkcs11-tool zijn beschikbaar; de CBOM-sensoragent is op de host geïnstalleerd.

Stapsgewijze handleiding

Stap 1: (Eerste keer) Het apparaat initialiseren

Sla deze stap over als het apparaat al is geïnitialiseerd met actieve SO- en gebruikers-PINs. Anders:

sc-hsm-tool --initialize \ --so-pin --pin --label "CBOM-HSM" # Voeg optioneel --dkek-shares 1 toe voor een back-up van de sleutel

Stap 2: Stel een alleen-lezen cryptografische gebruikers-PIN in

pkcs11-tool \ --module /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so \ --change-pin --login --pin --nieuwe-pin

Bevestig dat de Crypto-gebruiker objecten kan opsommen:

pkcs11-tool \ --module /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so \ --slot 0 --login --pin --lijst-objecten

Stap 3: Identificeer slot en bibliotheek, verleen toegang tot pc/SC

pkcs11-tool --module /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so --list-slots # noteer de slotindex en het token-serienummer (bijv. UTSC00000001) sudo usermod -aG plugdev cbom-agent sudo -u cbom-agent pkcs11-tool \ --module /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so --list-slots

Opmerking: Op RHEL/CentOS bevindt de bibliotheek zich op /usr/lib64/pkcs11/opensc-pkcs11.so.

Stap 4: Configureer de CBOM Secure Sensor

sensoren: - naam: Discover_HSM type: hsm ingeschakeld: true verbinding: pkcs11_module: /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so slot: 0 token_label: CBOM-HSM token_serial: UTSC00000001 auth: gebruikerstype: CKU_USER pin_env: CBOM_HSM_USER_PIN ontdekking: objecttypen: [privésleutels, publieke sleutels, symmetrische sleutels, certificaten, dataobjecten] verzamelkenmerken: [CKA_LABEL, CKA_ID, CKA_CLASS, CKA_KEY_TYPE, CKA_VALUE_LEN, CKA_MODULUS_BITS, CKA_EC_PARAMS, CKA_SIGN, CKA_VERIFY, CKA_EXTRACTABLE, CKA_SENSITIVE, CKA_START_DATE, CKA_END_DATE] schema: interval: 24 uur uitvoer: tags: { apparaattype: smartcard-hsm, leverancier: ultrasafe } export CBOM_HSM_USER_PIN=" " sudo -E systemctl herstart cbom-agent

Stap 5: Valideren

cbom-agent sensor run --name Discover_HSM --dry-run

Controleer of de module laadt, het token verbinding maakt, CKU_USER authenticeert en sleutels/certificaten worden gevonden; controleer dit onder Assets → Cryptografische sleutels, gefilterd op Bron: Discover_HSM.

Veel voorkomende fouten

CKR_PIN_ONJUIST

Oorzaak: De PIN-variabele komt niet overeen met de Crypto User PIN, of is niet geëxporteerd naar de agentomgeving.

Oplossing: Exporteer CBOM_HSM_USER_PIN opnieuw en herstart met systemctl restart cbom-agent; controleer of deze is ingesteld in de omgevingsvariabelen van de agent.

PCSC-fout: Apparaat bestaat niet.

Oorzaak: pcscd draait niet, de lezer is losgekoppeld of de agent heeft geen toegang tot de lezer.

Oplossing: Herstart pcscd, controleer met opensc-tool –list-readers en zorg ervoor dat cbom-agent zich in de plugdev-groep bevindt.

CKR_SLOT_ID_INVALID

Oorzaak: De slotindex is gewijzigd na een USB-hernummering.

Oplossing: Voer –list-slots opnieuw uit, of gebruik token_label / token_serial voor stabiele identificatie.

Beveiligingsaanbevelingen

  • Gebruik uitsluitend de Crypto User PIN, nooit de SO PIN, aangezien deze de apparaatconfiguratie kan wijzigen.
  • Bewaar de pincode in een geheimenbeheerder in plaats van in een shellprofiel of unit-bestand.
  • Beperk de configuratie tot het agentaccount (chmod 600).
  • Schakel PIN-vergrendeling in (5 of minder pogingen) en houd alle DKEK-shares offline.
  • Beperk het aantal plugdev-leden en controleer de CBOM-ontdekkingslogboeken op authenticatiefouten.

Conclusie

De HSM-sensor maakt via OpenSC PKCS#11 verbinding met de SmartCard-HSM, authenticeert zich als een alleen-lezen cryptografische gebruiker en inventariseert alle sleutelobjecten, certificaten en dataobjecten, waardoor een continu bijgewerkte cryptografische inventaris in CBOM Secure beschikbaar is.