टेलीपोर्ट पैरिटी: जीरो-स्टैंडिंग-प्रिविलेज एक्सेस मॉडल
स्टेटिक क्रेडेंशियल्स - जैसे कि डेवलपर लैपटॉप और स्थायी प्रशासक भूमिकाओं में बिखरी हुई अनियंत्रित एसएसएच निजी कुंजी - खाता समझौते के बाद पार्श्व आंदोलन के लिए प्राथमिक वेक्टर हैं। ब्लैकशील्ड क्रिप्टोग्राफ़िक रूप से बंधे जस्ट-इन-टाइम (जेआईटी) एक्सेस अनुरोधों और अल्पकालिक ओपनएसएसएच प्रमाणपत्रों के साथ स्थायी पहुंच को प्रतिस्थापित करता है।
1. शून्य स्थायी विशेषाधिकार (ZSP)
इंजीनियर डिफ़ॉल्ट रूप से गैर-विशेषाधिकार प्राप्त सदस्य खाते बनाए रखते हैं। टाइम-बॉक्स्ड विंडो के लिए उन्नत उत्पादन पहुंच सख्ती से ऑन-डिमांड प्रदान की जाती है।
2. अल्पकालिक ओपनएसएसएच प्रमाणपत्र प्राधिकरण
अल्पकालिक ओपनएसएसएच प्रमाणपत्र (ssh-ed25519-cert-v01) के साथ EC2/Linux सर्वर पर स्थिर SSH कुंजियाँ और अधिकृत_कुंजियाँ हटाएँ।
3. दोहरी-प्राधिकरण जेआईटी अनुमोदन
अनिवार्य टिकट संदर्भों (जैसे INC-9021) और व्यावसायिक औचित्य के साथ पहुंच का अनुरोध करें। प्रशासक वास्तविक समय में अनुमोदन करते हैं।
4. स्वचालित निरसन एवं समाप्ति
सक्रिय अनुदानों की लगातार उल्टी गिनती होती रहती है। एक बार जब टीटीएल समाप्त हो जाता है (30 मिनट से 8 घंटे), तो विशेषाधिकार शून्य क्रेडेंशियल्स के साथ स्वचालित रूप से समाप्त हो जाते हैं।
5. टर्नकी होस्ट ऑनबोर्डिंग
लिनक्स होस्ट को ब्लैकशील्ड के CA पर भरोसा करते हुए केवल 1-लाइन मानक sshd_config निर्देश की आवश्यकता होती है। किसी मालिकाना एजेंट डेमॉन की आवश्यकता नहीं है।
6. छेड़छाड़-साक्ष्य ऑडिट श्रृंखला
क्रिप्टोग्राफ़िक रूप से श्रंखलाबद्ध ऑडिट लॉग प्रत्येक अनुरोध, समीक्षा और प्रमाणपत्र निर्माण घटना को सीधे एसओसी 2 सीसी6.1 और आईएसओ 27001 साक्ष्य बंडलों से जोड़ते हैं।
1. होस्ट कॉन्फ़िगरेशन (OpenSSH sshd_config)
भारी क्लाइंट डेमॉन की आवश्यकता वाले पुराने पीएएम समाधानों के विपरीत, ब्लैकशील्ड प्रत्येक लिनक्स वितरण में निर्मित मूल ओपनएसएसएच प्रमाणपत्र सत्यापन पर निर्भर करता है। इसमें अपनी किरायेदार CA सार्वजनिक कुंजी जोड़ें /etc/ssh/blackshield_user_ca.pub:
# 1. Fetch tenant CA public key from the dashboard or API: curl -s https://api.blackshield.chaplau.com/api/v1/identity/access/ssh/ca | jq -r .ca_public_key > /etc/ssh/blackshield_user_ca.pub # 2. Tell sshd to trust user certificates signed by this CA: echo "TrustedUserCAKeys /etc/ssh/blackshield_user_ca.pub" >> /etc/ssh/sshd_config # 3. Reload OpenSSH daemon: systemctl reload sshd
2. डेवलपर क्लाइंट कॉन्फ़िगरेशन (~/.ssh/config)
सभी आंतरिक होस्ट के लिए हस्ताक्षरित प्रमाणपत्रों का स्वचालित रूप से उपयोग करने के लिए डेवलपर्स अपने ओपनएसएसएच क्लाइंट को कॉन्फ़िगर कर सकते हैं:
Host *.internal IdentityFile ~/.ssh/id_ed25519 CertificateFile ~/.ssh/id_ed25519-cert.pub IdentitiesOnly yes
3. अनुपालन एवं नियंत्रण साक्ष्य
| मानक | नियंत्रण आईडी | आवश्यकता | ब्लैकशील्ड स्वचालित नियंत्रण |
|---|---|---|---|
| एसओसी 2 प्रकार II | CC6.1 / CC6.2 | तार्किक पहुंच अधिकृत उपयोगकर्ताओं तक ही सीमित है | शून्य स्थायी विशेषाधिकार; उन्नत भूमिकाओं के लिए दोहरे प्राधिकरण की आवश्यकता है |
| एसओसी 2 प्रकार II | CC6.3 | तार्किक पहुंच क्रेडेंशियल्स का समय पर निरसन | स्वचालित समाप्ति के साथ टाइम-बॉक्स वाले अल्पकालिक प्रमाणपत्र (डिफ़ॉल्ट 60 मिनट)। |
| आईएसओ 27001 | A.9.2.6 / A.9.4.2 | सुरक्षित प्रमाणीकरण और विशेषाधिकार प्राप्त अभिगम नियंत्रण | OpenSSH Ed25519 उपयोगकर्ता प्रमाणपत्रों पर हार्डवेयर-समर्थित क्रिप्टोग्राफ़िक हस्ताक्षर |