Teleport-Parität: Das Zero-Standing-Privilege-Zugriffsmodell
Statische Anmeldeinformationen – wie nicht rotierte private SSH-Schlüssel, die über Entwickler-Laptops und permanente Administratorrollen verteilt sind – sind der Hauptvektor für seitliche Bewegungen nach einer Kontokompromittierung. BlackShield ersetzt den ständigen Zugriff durch kryptografisch begrenzte Just-In-Time (JIT)-Zugriffsanfragen und kurzlebige OpenSSH-Zertifikate.
1. Zero Standing Privileges (ZSP)
Ingenieure verwalten standardmäßig nicht privilegierte Mitgliedskonten. Erhöhter Produktionszugriff wird ausschließlich bei Bedarf für zeitbegrenzte Fenster gewährt.
2. Ephemere OpenSSH-Zertifizierungsstelle
Eliminieren Sie die Ausbreitung statischer SSH-Schlüssel und autorisierter Schlüssel auf EC2/Linux-Servern mit kurzlebigen OpenSSH-Zertifikaten (ssh-ed25519-cert-v01).
3. JIT-Genehmigung mit doppelter Autorisierung
Fordern Sie Zugang mit obligatorischen Ticketreferenzen (z. B. INC-9021) und geschäftlichen Begründungen an. Administratoren genehmigen in Echtzeit.
4. Automatisierter Widerruf und Ablauf
Aktive Zuschüsse zählen kontinuierlich herunter. Sobald die TTL abgelaufen ist (30 Minuten bis 8 Stunden), erlöschen die Berechtigungen automatisch und es verbleiben keine Anmeldeinformationen mehr.
5. Schlüsselfertiges Host-Onboarding
Linux-Hosts erfordern nur eine einzeilige Standardanweisung sshd_config, die der Zertifizierungsstelle von BlackShield vertraut. Keine proprietären Agent-Daemons erforderlich.
6. Manipulationssichere Prüfketten
Kryptografisch verkettete Prüfprotokolle verknüpfen jede Anforderung, Überprüfung und jedes Zertifikatserstellungsereignis direkt mit SOC 2 CC6.1- und ISO 27001-Beweispaketen.
1. Host-Konfiguration (OpenSSH sshd_config)
Im Gegensatz zu älteren PAM-Lösungen, die umfangreiche Client-Daemons erfordern, verlässt sich BlackShield auf die native OpenSSH-Zertifikatsvalidierung, die in jede Linux-Distribution integriert ist. Fügen Sie den öffentlichen Schlüssel Ihrer Mandanten-CA hinzu /etc/ssh/blackshield_user_ca.pub:
# 1. Fetch tenant CA public key from the dashboard or API: curl -s https://api.blackshield.chaplau.com/api/v1/identity/access/ssh/ca | jq -r .ca_public_key > /etc/ssh/blackshield_user_ca.pub # 2. Tell sshd to trust user certificates signed by this CA: echo "TrustedUserCAKeys /etc/ssh/blackshield_user_ca.pub" >> /etc/ssh/sshd_config # 3. Reload OpenSSH daemon: systemctl reload sshd
2. Entwickler-Client-Konfiguration (~/.ssh/config)
Entwickler können ihren OpenSSH-Client so konfigurieren, dass er automatisch signierte Zertifikate für alle internen Hosts verwendet:
Host *.internal IdentityFile ~/.ssh/id_ed25519 CertificateFile ~/.ssh/id_ed25519-cert.pub IdentitiesOnly yes
3. Compliance- und Kontrollnachweise
| Standard | Kontroll-ID | Anforderung | Automatisierte BlackShield-Steuerung |
|---|---|---|---|
| SOC 2 Typ II | CC6.1 / CC6.2 | Logischer Zugriff auf autorisierte Benutzer beschränkt | Keine ständigen Privilegien; Für erhöhte Rollen ist eine doppelte Autorisierung erforderlich |
| SOC 2 Typ II | CC6.3 | Rechtzeitiger Widerruf logischer Zugangsdaten | Befristete, kurzlebige Zertifikate (Standard 60 Minuten) mit automatischem Ablauf |
| ISO 27001 | A.9.2.6 / A.9.4.2 | Sichere Authentifizierung und privilegierte Zugriffskontrolle | Hardwaregestützte kryptografische Signatur von OpenSSH Ed25519-Benutzerzertifikaten |