Parità di teletrasporto: il modello di accesso con privilegi zero
Le credenziali statiche, come le chiavi private SSH non ruotate sparse sui laptop degli sviluppatori e i ruoli di amministratore permanenti, rappresentano il vettore principale dello spostamento laterale in seguito alla compromissione di un account. BlackShield sostituisce l'accesso permanente con richieste di accesso Just-In-Time (JIT) delimitate crittograficamente e certificati OpenSSH effimeri.
1. Privilegi Zero Standing (ZSP)
Per impostazione predefinita, gli ingegneri mantengono gli account dei membri non privilegiati. L'accesso alla produzione elevata è concesso rigorosamente su richiesta per finestre temporali.
2. Autorità di certificazione OpenSSH temporanea
Elimina le chiavi SSH statiche e la proliferazione di Authorized_keys sui server EC2/Linux con certificati OpenSSH di breve durata (ssh-ed25519-cert-v01).
3. Approvazione JIT con doppia autorizzazione
Richiedi l'accesso con i riferimenti obbligatori del ticket (es. INC-9021) e giustificazioni aziendali. Gli amministratori approvano in tempo reale.
4. Revoca e scadenza automatizzate
Le sovvenzioni attive continuano il conto alla rovescia. Una volta scaduto il TTL (da 30 minuti a 8 ore), i privilegi scadono automaticamente con zero credenziali persistenti.
5. Onboarding dell'host chiavi in mano
Gli host Linux richiedono solo una direttiva sshd_config standard di 1 riga che si fida della CA di BlackShield. Non sono richiesti demoni dell'agente proprietario.
6. Catene di audit a prova di manomissione
I log di controllo concatenati crittograficamente collegano ogni richiesta, revisione ed evento di creazione di certificati direttamente ai pacchetti di prove SOC 2 CC6.1 e ISO 27001.
1. Configurazione dell'host (OpenSSH sshd_config)
A differenza delle soluzioni PAM legacy che richiedono pesanti demoni client, BlackShield si basa sulla convalida nativa del certificato OpenSSH integrata in ogni distribuzione Linux. Aggiungi la chiave pubblica della CA del tenant a /etc/ssh/blackshield_user_ca.pub:
# 1. Fetch tenant CA public key from the dashboard or API: curl -s https://api.blackshield.chaplau.com/api/v1/identity/access/ssh/ca | jq -r .ca_public_key > /etc/ssh/blackshield_user_ca.pub # 2. Tell sshd to trust user certificates signed by this CA: echo "TrustedUserCAKeys /etc/ssh/blackshield_user_ca.pub" >> /etc/ssh/sshd_config # 3. Reload OpenSSH daemon: systemctl reload sshd
2. Configurazione del client per sviluppatori (~/.ssh/config)
Gli sviluppatori possono configurare il proprio client OpenSSH per utilizzare automaticamente i certificati firmati per tutti gli host interni:
Host *.internal IdentityFile ~/.ssh/id_ed25519 CertificateFile ~/.ssh/id_ed25519-cert.pub IdentitiesOnly yes
3. Prove di conformità e controllo
| Profilo standard | Identificativo di controllo | Requisito | Controllo automatizzato BlackShield |
|---|---|---|---|
| SOC2 Tipo II | CC6.1 / CC6.2 | Accesso logico limitato agli utenti autorizzati | Privilegi permanenti pari a zero; doppia autorizzazione richiesta per ruoli elevati |
| SOC2 Tipo II | CC6.3 | Revoca tempestiva delle credenziali di accesso logico | Certificati di breve durata con scadenza temporale (predefinita 60 minuti) con scadenza automatizzata |
| ISO27001 | A.9.2.6 / A.9.4.2 | Autenticazione sicura e controllo degli accessi privilegiati | Firma crittografica supportata da hardware dei certificati utente OpenSSH Ed25519 |