Igazolási típusok és forgatókönyvek

A számítástechnika elengedhetetlen része mindennapi életünknek. Az okostelefonjainktól kezdve a kritikus infrastruktúrákig mindent működtet. Az egyre szigorúabb szabályozási környezetek, a kibertámadások elterjedtsége és a támadók egyre kifinomultabb alkalmazása megnehezíti a megbízható számítástechnikai technológiák hitelességét és integritását, amelyektől függünk. Az igazolás a rendszer szoftver- és hardverösszetevőinek ellenőrzésére szolgáló technika. Ez egy kritikus folyamat annak megállapításához és biztosításához, hogy az általunk használt számítástechnikai technológiák megbízhatóak legyenek.

Ebben a cikkben áttekintjük, hogy mi az igazolás, milyen igazolási típusokat kínál ma a Microsoft, és hogyan használhat ilyen típusú igazolási forgatókönyveket a Microsoft-megoldásokban.

Mi az igazolás?

A távoli igazolás során az egyik társ (az igazoló fél) hihető információt állít elő magáról (a bizonyítékot), hogy lehetővé tegye a távoli társ (a megbízó fél) számára annak eldöntését, hogy az igazoló felet megbízható társnak tekinti-e. Egy másik létfontosságú fél (a hitelesítő) elvégzi a távoli igazolási eljárásokat. Egyszerű értelemben az igazolással bizonyítható, hogy a számítógépes rendszer megbízható.

Annak megértéséhez, hogy mi az igazolás, és hogyan működik a gyakorlatban, ez a cikk összehasonlítja a számítástechnika igazolási folyamatát a valós példákkal az útlevélekkel és a háttérellenőrzésekkel.

A cikkben használt definíciókat és modelleket az Internet Engineering Task Force (IETF) távoli igazolási eljárások (RATs) architektúradokumentuma ismerteti. További információért lásd Internet Engineering Task Force: Remote attestation procedures (RATs) architektúra.

Passport-modell

Ebben a szakaszban két útlevélforgatókönyvet mutatunk be.

Útlevélmodell: Bevándorlási pult

1. Egy állampolgár útlevélre vágyik, hogy külföldi országba/régióba utazzon. A polgár bizonyítékokkal kapcsolatos követelményeket nyújt be a fogadó országnak/régiónak.

2. A fogadó ország/régió megkapja az egyéntől a szabályzatmegfelelőség bizonyítékát, és ellenőrzi, hogy a benyújtott bizonyítékok igazolják-e, hogy az egyén megfelel-e az útlevél kiállítására vonatkozó szabályzatoknak:

   • A születési anyakönyvi kivonat érvényes, és nem módosult.
   • A születési anyakönyvi kivonat kiállítója megbízható.
   • Az egyén nem része a korlátozott listáknak.

3. Ha a fogadó ország/régió úgy dönt, hogy a bizonyítékok megfelelnek a házirendjüknek, a fogadó ország/régió útlevelet ad ki a polgár számára.

4. A polgár külföldi országba utazik, de először be kell mutatnia az útlevelét a külföldi ország/régió határőrizeti ügynökének értékelés céljából.

5. A külföldi ország/régió határőrügynöke az útlevélre vonatkozó szabályok sorát ellenőrzi, mielőtt megbízik benne:

   • Az útlevél hiteles, és nem módosították.
   • Egy megbízható ország/régió állította elő az útlevelet.
   • Az útlevél nem lejárt vagy visszavont.
   • Az útlevél megfelel a vízum- vagy életkori követelményeknek.

6. A külföldi ország/régió határőrügynöke jóváhagyja az útlevelet, és a polgár beléphet a külföldi országba/régióba.

Passport-modell: Számítástechnika

1. A megbízható végrehajtási környezet (TEE), amely más néven tanúsító, titkokat szeretne lekérni egy titokkezelőből, más néven megbízó félből. A titkok lekéréséhez a TEE-nek bizonyítania kell a titkos kulcsok kezelőjének, hogy megbízható és valódi. A TEE benyújtja bizonyítékait egy hitelesítőnek, hogy igazolja, hogy megbízható és valódi. A bizonyíték tartalmazza a végrehajtott kód kivonatát, a buildkörnyezet kivonatát és a gyártó által létrehozott tanúsítványát.

2. A hitelesítő, amely egy igazolási szolgáltatás, kiértékeli, hogy a TEE által megadott bizonyítékok megfelelnek-e a megbízhatóságra vonatkozó alábbi követelményeknek:

   • A tanúsítvány érvényes, és nem lett módosítva.
   • A tanúsítvány kiállítója megbízható.
   • A TEE-bizonyítékok nem részei a korlátozott listáknak.

3. Ha a hitelesítő úgy dönt, hogy a bizonyíték megfelel a meghatározott szabályzatnak, a hitelesítő igazolási eredményt hoz létre, és átadja a TEE-nek.

4. A TEE titkos kulcsokat akar cserélni a titkos kódok kezelőjével. Először be kell mutatnia az igazolás eredményét a titkos kódok kezelőjének kiértékeléshez.

5. A titkos menedzser egy sor szabályt ellenőriz az igazolási eredményen, mielőtt megbízik benne.

   • Az igazolás eredménye hiteles, és nem módosult.
   • Egy megbízható hatóság hozta létre az igazolás eredményét.
   • Az igazolás eredménye nem lejárt vagy visszavont.
   • Az igazolás eredménye megfelel a konfigurált rendszergazdai szabályzatnak.

6. A titkos kódok kezelője jóváhagyja az igazolás eredményét, és titkos kulcsokat cserél a TEE-vel.

Háttérellenőrzési modell

Ebben a szakaszban két háttérellenőrzési forgatókönyvet mutatunk be.

Háttérellenőrzés: Iskolai ellenőrzés

1. Egy személy háttérellenőrzést végez egy potenciális munkáltatónál, hogy munkát szerezzen. A személy a potenciális munkáltatónak küldi el az iskolai hátterét az iskolából, a amelyen részt vett.

2. A munkáltató lekéri az oktatási hátteret a személytől, és továbbítja ezeket az információkat a megfelelő iskolának, hogy ellenőrizhesse.

3. Az iskola kiértékeli, hogy az adott személy által megadott iskolai háttér megfelel-e az iskolai nyilvántartásnak.

4. Az iskola igazolási eredményt ad ki, amely ellenőrzi, hogy a személy iskolai háttere megfelel-e a nyilvántartásának, és elküldi azt a munkáltatónak.

5. A munkáltató, más néven függő entitás, az igazolási eredményre vonatkozó szabályok sorozatát ellenőrizheti, mielőtt megbízna benne:

   • Az igazolás eredménye hiteles, nem módosult, és az iskolából származik.
   • Egy megbízható iskola készítette el az igazolás eredményét.

6. A munkáltató jóváhagyja az igazolás eredményét, és felveszi a személyt.

Háttérellenőrzés: Számítástechnika

1. A TEE, más néven tanúsító, titkokat szeretne lekérni egy titokkezelőtől, más néven függő entitástól. A titkos adatok lekéréséhez a titkos adatok kezelőjéből a TEE-nek bizonyítania kell, hogy megbízható és eredeti. A TEE elküldi bizonyítékait a titkos kódok kezelőjének, hogy bebizonyítsa, hogy megbízható és valódi. A bizonyíték tartalmazza a végrehajtott kód kivonatát, a buildkörnyezet kivonatát és a gyártó által létrehozott tanúsítványát.

2. A titokkezelő lekéri a bizonyítékot a TEE-ből, és továbbítja a hitelesítőnek ellenőrzés céljából.

3. A hitelesítő szolgáltatás kiértékeli, hogy a TEE által megadott bizonyítékok megfelelnek-e a megbízhatóságra vonatkozó meghatározott szabályzatkövetelményeknek:

   • A tanúsítvány érvényes, és nem lett módosítva.
   • A tanúsítvány kiállítója megbízható.
   • A TEE-bizonyítékok nem részei a korlátozott listáknak.

4. A hitelesítő létrehoz egy igazolási eredményt a TEE számára, és elküldi azt a titkos kódok kezelőjének.

5. A titkos menedzser egy sor szabályt ellenőriz az igazolási eredményen, mielőtt megbízik benne.

   • Az igazolás eredménye hiteles, és nem módosult.
   • Egy megbízható hatóság hozta létre az igazolás eredményét.
   • Az igazolás eredménye nem lejárt vagy visszavont.
   • Az igazolás eredménye megfelel a konfigurált rendszergazdai szabályzatnak.

6. A titkos kódok kezelője jóváhagyja az igazolás eredményét, és titkos kulcsokat cserél a TEE-vel.

Az igazolás típusai

Az igazolási szolgáltatásokat két különböző módon használják. Minden módszer saját előnyöket biztosít.

Felhőszolgáltató

Az Azure Attestation egy ügyféloldali szolgáltatás, amely olyan TEES-ek, mint az Intel Software Guard-bővítmények (SGX)-enklávék, a virtualizációalapú biztonsági (VBS-) enklávék, a megbízható platformmodulok, a megbízható indítás és a bizalmas virtuális gépek (VM-ek) igazolására szolgáló keretrendszer. A felhőszolgáltató igazolási szolgáltatásának( például az Azure Attestation) használatának előnyei a következők:

• Szabadon elérhető.
• A forráskód a Microsoft Code Center Prémium eszközével érhető el a kormányzati ügyfelek számára.
• Az Intel SGX enklávén belüli üzemeltetéssel védi az adatokat használat közben.
• Egyetlen megoldásban több TEE-t is hitelesít.
• Erős szolgáltatási szintű szerződést kínál.

Saját építés

Saját igazolási mechanizmusokat hozhat létre, hogy megbízhasson a számítástechnikai infrastruktúrában a felhő- és hardverszolgáltatók által biztosított eszközökkel. A Microsoft-megoldások saját igazolási folyamatainak létrehozásához szükség lehet a Megbízható hardveralapú identitáskezelés (THIM) használatára. Ez a megoldás kezeli az Azure-ban található összes TEE tanúsítványainak gyorsítótárazását. Megbízható számítástechnikai alapinformációkat biztosít az igazolási megoldások minimális alapkonfigurációjának kikényszerítéséhez. A saját igazolási szolgáltatás létrehozásának és használatának előnyei:

• 100% az igazolási folyamatok ellenőrzése a szabályozási és megfelelőségi követelményeknek való megfelelés érdekében.
• Más számítástechnikai technológiákkal való integráció testreszabása.

Igazolási forgatókönyvek a Microsoftnál

Számos Microsoft-igazolási forgatókönyv esetében választhat a felhőszolgáltató és a saját igazolási szolgáltatások között. A következő szakaszok az Azure-ajánlatokat és az elérhető igazolási forgatókönyveket ismertetik.

Alkalmazás-enklávékkal rendelkező virtuális gépek

Az alkalmazás-enklávékkal rendelkező virtuális gépeket az Intel SGX engedélyezi. A szervezetek olyan enklávékat hozhatnak létre, amelyek védik az adatokat, és titkosítják az adatokat, miközben a processzor feldolgozza az adatokat. Az Azure-beli Intel SGX-enklávékat az Azure Megerősítés szolgáltatással és önállóan is igazolhatja. További információkért lásd:

• Intel SGX-igazolás kezdőlapja
• Felhőszolgáltató: Intel SGX-mintakód igazolása az Azure Attestation használatával
• Építsd meg a sajátodat: Enklávé tanúsítás

Bizalmas virtuális gépek

A bizalmas virtuális gépeket az AMD SEV-SNP engedélyezi. A szervezetek hardveralapú elkülönítéssel rendelkezhetnek a virtuális gépek és a mögöttes gazdagépfelügyeleti kód között (beleértve a hipervizort is). Az Azure-ban lévő felügyelt bizalmas virtuális gépeket tanúsíthatja az Azure Attestation segítségével vagy önállóan. További információkért lásd:

• Bizalmas virtuális gépek igazolásának kezdőlapja
• Felhőszolgáltató: Mi a bizalmas virtuális gépek vendégigazolása?
• Saját összeállítás: Nyers AMD-SEV-SNP jelentés lekérése és ellenőrzése önállóan

Bizalmas tárolók az Azure Container Instancesben

Az Azure Container Instances bizalmas tárolói számos funkciót és képességet biztosítanak a standard tárolóterhelések biztonságossá tételéhez, így magasabb adatbiztonságot, adatvédelmet és futtatókörnyezeti kódintegritási célokat érhetnek el. A bizalmas tárolók hardveralapú TEE-ben futnak, amely olyan belső képességeket biztosít, mint az adatintegritás, az adatok bizalmassága és a kódintegritás. További információkért lásd:

• Felhőszolgáltató: Igazolás bizalmas konténerekben az Azure Container Instancesben