Paridad de teletransporte: el modelo de acceso con privilegios cero
Las credenciales estáticas, como las claves privadas SSH no rotadas repartidas entre las computadoras portátiles de los desarrolladores y los roles de administrador permanente, son el principal vector de movimiento lateral luego de una cuenta comprometida. BlackShield reemplaza el acceso permanente con solicitudes de acceso Just-In-Time (JIT) limitadas criptográficamente y certificados OpenSSH efímeros.
1. Privilegios permanentes cero (ZSP)
Los ingenieros mantienen cuentas de miembros sin privilegios de forma predeterminada. El acceso elevado a la producción se otorga estrictamente bajo demanda para ventanas con límite de tiempo.
2. Autoridad de certificación OpenSSH efímera
Elimine las claves SSH estáticas y la proliferación de claves_autorizadas en servidores EC2/Linux con certificados OpenSSH de corta duración (ssh-ed25519-cert-v01).
3. Aprobación JIT de doble autorización
Solicite acceso con referencias de boletos obligatorias (por ejemplo, INC-9021) y justificaciones comerciales. Los administradores aprueban en tiempo real.
4. Revocación y Vencimiento Automatizados
Las subvenciones activas cuentan continuamente. Una vez que el TTL caduca (30 min a 8 h), los privilegios caducan automáticamente sin credenciales persistentes.
5. Incorporación de anfitriones llave en mano
Los hosts Linux requieren solo una directiva sshd_config estándar de 1 línea que confíe en la CA de BlackShield. No se requieren demonios agentes propietarios.
6. Cadenas de auditoría a prueba de manipulaciones
Los registros de auditoría encadenados criptográficamente vinculan cada solicitud, revisión y evento de emisión de certificados directamente a los paquetes de evidencia SOC 2 CC6.1 e ISO 27001.
1. Configuración del host (OpenSSH sshd_config)
A diferencia de las soluciones PAM heredadas que requieren demonios de cliente pesados, BlackShield se basa en la validación de certificados OpenSSH nativos integrados en cada distribución de Linux. Agregue la clave pública de su CA de inquilino a /etc/ssh/blackshield_user_ca.pub:
# 1. Fetch tenant CA public key from the dashboard or API: curl -s https://api.blackshield.chaplau.com/api/v1/identity/access/ssh/ca | jq -r .ca_public_key > /etc/ssh/blackshield_user_ca.pub # 2. Tell sshd to trust user certificates signed by this CA: echo "TrustedUserCAKeys /etc/ssh/blackshield_user_ca.pub" >> /etc/ssh/sshd_config # 3. Reload OpenSSH daemon: systemctl reload sshd
2. Configuración del cliente desarrollador (~/.ssh/config)
Los desarrolladores pueden configurar su cliente OpenSSH para utilizar automáticamente certificados firmados para todos los hosts internos:
Host *.internal IdentityFile ~/.ssh/id_ed25519 CertificateFile ~/.ssh/id_ed25519-cert.pub IdentitiesOnly yes
3. Evidencia de cumplimiento y control
| Estándar | ID de control | Requisito | Control automatizado BlackShield |
|---|---|---|---|
| SOC 2 Tipo II | CC6.1 / CC6.2 | Acceso lógico restringido a usuarios autorizados | Cero privilegios permanentes; Se requiere doble autorización para roles elevados. |
| SOC 2 Tipo II | CC6.3 | Revocación oportuna de credenciales de acceso lógico | Certificados de corta duración con límite de tiempo (predeterminado 60 minutos) con vencimiento automático |
| ISO 27001 | A.9.2.6 / A.9.4.2 | Autenticación segura y control de acceso privilegiado | Firma criptográfica respaldada por hardware de certificados de usuario OpenSSH Ed25519 |