Informatiebeveiliging heeft honderden variabelen die we kunnen implementeren om de integriteit van gegevens en informatie in elk besturingssysteem te optimaliseren, we hebben van wachtwoorden tot firewalloplossingen die voor dit doel zijn ontworpen en vandaag zullen we ons concentreren op een belangrijk beveiligingsniveau en grote impact zoals HSM (Hardware Security Modules - Hardware Security Modules), een methode die met verschillende toepassingen kan worden gebruikt om cryptografische sleutels en certificaten op te slaan.
Een van de applicaties gericht op deze omgeving is SoftHSM en vandaag zullen we analyseren hoe het te gebruiken en te implementeren in Linux.
Wat is SoftHSMSoftHSM is ontwikkeld door OpenDNSSEC om te worden gebruikt als een implementatie van een cryptografische winkel die toegankelijk is via een PKCS #11-interface.
Wat is PKCS # Elk van de Public-Key Cryptographic Standards (PKCS) bestaat uit een groep cryptografische standaarden die zijn ontworpen om richtlijnen en applicatieprogrammeerinterfaces (API's) te bieden voor het gebruik van cryptografische methoden.
Door SoftHSM te implementeren, kunnen we PKCS #11 grondig analyseren zonder het gebruik van hardware-beveiligingsmodules. SoftHSM maakt deel uit van het project onder leiding van OpenDNSSEC waarbij Botan wordt gebruikt voor het hele cryptografievraagstuk. OpenDNSSEC is geïmplementeerd om alle cryptografische sleutels die worden gegenereerd via de PKCS #11-interface centraal en correct te beheren.
Het doel van de interface is om optimale communicatie met HSM-apparaten (Hardware Security Modules - Hardware Security Modules) mogelijk te maken en deze apparaten vervullen de functie van het genereren van verschillende cryptografische sleutels en het ondertekenen van de relevante informatie zonder dat deze bekend is bij derden. privacy en veiligheid.
Om een beetje in de context te komen, het PKCS #11-protocol is ontworpen als een cryptografiestandaard die gebruik maakt van een API-interface genaamd Cryptoki, en dankzij deze API kan elke applicatie verschillende cryptografische elementen beheren, zoals de tokens en de acties uitvoeren waaraan zij op beveiligingsniveau moeten voldoen.
Momenteel wordt PKCS #11 erkend als een open standaard door de technische commissie van OASIS PKCS 11 die er achter zit.
SoftHSM-functiesBij het gebruik van SoftHSM hebben we een aantal voordelen, zoals:
- Het kan in een bestaand systeem worden geïntegreerd zonder dat de gehele bestaande infrastructuur hoeft te worden herzien, waardoor tijd en middelen niet worden verspild.
- Het kan worden geconfigureerd om zonebestanden te ondertekenen of om zones te ondertekenen die via AXFR zijn overgedragen.
- Automatisch, aangezien eenmaal geconfigureerd geen handmatige tussenkomst nodig is.
- Maakt handmatige wachtwoordwijziging mogelijk (noodwachtwoordwijziging).
- Het is open source
- Het is in staat om zones te ondertekenen die slechts miljoenen records bevatten.
- Een enkele OpenDNSSEC-instantie kan worden geconfigureerd om een of meer zones te ondertekenen.
- Sleutels kunnen tussen zones worden gedeeld om ruimte op de HSM te besparen.
- Hiermee kunt u het zonehandtekeningbeleid definiëren (sleutelduur, sleutelduur, handtekeninginterval, enz.); Hiermee kunnen we het systeem configureren voor meerdere acties als een beleid om alle zones te dekken tot één beleid per zone.
- Compatibel met alle verschillende versies van het Unix-besturingssysteem
- SoftHSM kan controleren of HSM's compatibel zijn met OpenDNSSEC
- Het bevat een auditfunctie die de inkomende niet-ondertekende zone vergelijkt met de uitgaande ondertekende zone, zodat u kunt controleren of er geen zonegegevens verloren zijn gegaan en dat de zonehandtekeningen correct zijn.
- Ondersteunt RSA/SHA1- en SHA2-handtekeningen
- Ontkenning van het bestaan met behulp van NSEC of NSEC3
Met deze SoftHSM-functionaliteiten zullen we nu zien hoe we het op Linux kunnen installeren, in dit geval Ubuntu Server 17.10.
Afhankelijkheden Botan- of OpenSSL-cryptografische bibliotheken kunnen worden gebruikt met het SoftHSM-project. Als Botan wordt gebruikt met SoftHSM, moeten we ervoor zorgen dat het compatibel is met GNU MP (--with-gnump), omdat deze controle de prestaties tijdens openbare-sleutelbewerkingen zal verbeteren.
1. SoftHSM-installatie
Het SoftHSM-hulpprogramma is beschikbaar op de OpenDNSSEC-website en kan als volgt worden gedownload met de opdracht wget:
wget https://dist.opendnssec.org/source/softhsm-2.3.0.tar.gz
Vervolgens zullen we het gedownloade pakket als volgt uitpakken met de opdracht tar:
tar -xzf softhsm-2.3.0.tar.gzLater zullen we toegang krijgen tot de map waar het pakket is uitgepakt:
cd softhsm-2.3.0
Inloggen Doe mee!
