Paridade de teletransporte: o modelo de acesso com privilégio zero
Credenciais estáticas, como chaves privadas SSH não rotacionadas espalhadas pelos laptops dos desenvolvedores e funções permanentes de administrador, são o principal vetor para movimentação lateral após o comprometimento de uma conta. O BlackShield substitui o acesso permanente por solicitações de acesso Just-In-Time (JIT) criptograficamente limitadas e certificados OpenSSH efêmeros.
1. Privilégios Permanentes Zero (ZSP)
Os engenheiros mantêm contas de membros não privilegiadas por padrão. O acesso elevado à produção é concedido estritamente sob demanda para janelas com limite de tempo.
2. Autoridade de certificação OpenSSH efêmera
Elimine a expansão de chaves SSH estáticas e de chaves autorizadas em servidores EC2/Linux com certificados OpenSSH de curta duração (ssh-ed25519-cert-v01).
3. Aprovação JIT de autorização dupla
Solicite acesso com referências obrigatórias de tickets (ex. INC-9021) e justificativas comerciais. Os administradores aprovam em tempo real.
4. Revogação e expiração automatizadas
As concessões ativas estão em contagem regressiva contínua. Assim que o TTL expirar (30m a 8h), os privilégios expiram automaticamente com zero credenciais remanescentes.
5. Integração de host pronta para uso
Os hosts Linux requerem apenas uma diretiva sshd_config padrão de 1 linha que confia na CA do BlackShield. Não são necessários daemons de agente proprietário.
6. Cadeias de auditoria invioláveis
Os registros de auditoria encadeados criptograficamente vinculam cada solicitação, revisão e evento de emissão de certificado diretamente aos pacotes de evidências SOC 2 CC6.1 e ISO 27001.
1. Configuração do host (OpenSSH sshd_config)
Ao contrário das soluções PAM legadas que exigem daemons de cliente pesados, o BlackShield depende da validação de certificado OpenSSH nativo incorporada em cada distribuição Linux. Adicione a chave pública da CA do locatário a /etc/ssh/blackshield_user_ca.pub:
# 1. Fetch tenant CA public key from the dashboard or API: curl -s https://api.blackshield.chaplau.com/api/v1/identity/access/ssh/ca | jq -r .ca_public_key > /etc/ssh/blackshield_user_ca.pub # 2. Tell sshd to trust user certificates signed by this CA: echo "TrustedUserCAKeys /etc/ssh/blackshield_user_ca.pub" >> /etc/ssh/sshd_config # 3. Reload OpenSSH daemon: systemctl reload sshd
2. Configuração do cliente desenvolvedor (~/.ssh/config)
Os desenvolvedores podem configurar seu cliente OpenSSH para usar automaticamente certificados assinados para todos os hosts internos:
Host *.internal IdentityFile ~/.ssh/id_ed25519 CertificateFile ~/.ssh/id_ed25519-cert.pub IdentitiesOnly yes
3. Evidências de Conformidade e Controle
| Padrão | ID de controle | Requisito | Controle automatizado BlackShield |
|---|---|---|---|
| SOC 2 Tipo II | CC6.1 / CC6.2 | Acesso lógico restrito a usuários autorizados | Privilégios permanentes zero; autorização dupla necessária para funções elevadas |
| SOC 2 Tipo II | CC6.3 | Revogação oportuna de credenciais de acesso lógico | Certificados de curta duração com limite de tempo (padrão 60 minutos) com expiração automática |
| ISO 27001 | A.9.2.6 / A.9.4.2 | Autenticação segura e controle de acesso privilegiado | Assinatura criptográfica apoiada por hardware de certificados de usuário OpenSSH Ed25519 |