Parité de téléportation : le modèle d'accès à privilège zéro
Les informations d'identification statiques, telles que les clés privées SSH non alternées dispersées sur les ordinateurs portables des développeurs et les rôles d'administrateur permanent, constituent le principal vecteur de mouvement latéral suite à la compromission d'un compte. BlackShield remplace l'accès permanent par des demandes d'accès juste à temps (JIT) cryptographiquement limitées et des certificats OpenSSH éphémères.
1. Privilèges de statut zéro (ZSP)
Les ingénieurs gèrent par défaut des comptes de membres non privilégiés. Un accès élevé à la production est accordé strictement à la demande pour des fenêtres temporelles.
2. Autorité de certification OpenSSH éphémère
Éliminez la prolifération des clés SSH statiques et des clés autorisées sur les serveurs EC2/Linux avec des certificats OpenSSH de courte durée (ssh-ed25519-cert-v01).
3. Approbation JIT à double autorisation
Demandez l'accès avec les références de billets obligatoires (par exemple INC-9021) et les justifications commerciales. Les administrateurs approuvent en temps réel.
4. Révocation et expiration automatisées
Les subventions actives comptent continuellement à rebours. Une fois la durée de vie écoulée (30 minutes à 8 heures), les privilèges expirent automatiquement sans aucune information d'identification persistante.
5. Intégration d'hôte clé en main
Les hôtes Linux ne nécessitent qu'une directive sshd_config standard d'une seule ligne faisant confiance à l'autorité de certification de BlackShield. Aucun démon d'agent propriétaire n'est requis.
6. Chaînes d'audit inviolables
Les journaux d'audit chaînés cryptographiquement relient chaque événement de demande, d'examen et de création de certificat directement aux ensembles de preuves SOC 2 CC6.1 et ISO 27001.
1. Configuration de l'hôte (OpenSSH sshd_config)
Contrairement aux solutions PAM existantes nécessitant des démons clients lourds, BlackShield s'appuie sur la validation native des certificats OpenSSH intégrée à chaque distribution Linux. Ajoutez la clé publique de votre CA locataire à /etc/ssh/blackshield_user_ca.pub:
# 1. Fetch tenant CA public key from the dashboard or API: curl -s https://api.blackshield.chaplau.com/api/v1/identity/access/ssh/ca | jq -r .ca_public_key > /etc/ssh/blackshield_user_ca.pub # 2. Tell sshd to trust user certificates signed by this CA: echo "TrustedUserCAKeys /etc/ssh/blackshield_user_ca.pub" >> /etc/ssh/sshd_config # 3. Reload OpenSSH daemon: systemctl reload sshd
2. Configuration du client développeur (~/.ssh/config)
Les développeurs peuvent configurer leur client OpenSSH pour utiliser automatiquement les certificats signés pour tous les hôtes internes :
Host *.internal IdentityFile ~/.ssh/id_ed25519 CertificateFile ~/.ssh/id_ed25519-cert.pub IdentitiesOnly yes
3. Preuves de conformité et de contrôle
| Standard | ID de contrôle | Exigence | Contrôle automatisé BlackShield |
|---|---|---|---|
| SOC2 Type II | CC6.1 / CC6.2 | Accès logique restreint aux utilisateurs autorisés | Aucun privilège permanent ; double autorisation requise pour les rôles élevés |
| SOC2 Type II | CC6.3 | Révocation en temps opportun des informations d'identification d'accès logique | Certificats de courte durée (60 minutes par défaut) avec expiration automatique |
| OIN 27001 | A.9.2.6 / A.9.4.2 | Authentification sécurisée et contrôle d’accès privilégié | Signature cryptographique matérielle des certificats utilisateur OpenSSH Ed25519 |