この付録では、RUEIを構成して、HSMデバイスに格納されている秘密鍵にアクセスする方法について説明します。この機能はベータ版として提供されています。開始する前に、HSMベンダーのマニュアルを参照してください。
ハードウェア・セキュリティ・モジュール(HSM)とは、サーバー・システムに接続してデジタル鍵を管理できるデバイスのことです。これらの要素を認証されていないユーザーから論理的、物理的の両面で保護します。
RUEIでのHSMのサポートはOpenSSLに基づきます。OpenSSLプロジェクトの詳細は、http://www.openssl.org/
を参照してください。RUEIで提供される監視のサポートは、Thales社のnCipher製品ラインに対して検証されています。ただし、他のOpenSSLベースの実装でも機能します。
次の手順を実行します。
必須コレクタ・システムごとにHSMベンダー・ソフトウェアをインストールします。インストール手順の詳細は、HSMベンダーのマニュアルを参照してください。
HSMのセキュリティ・ドメイン内で各必須コレクタ・システムを構成します。この手順の詳細は、HSMベンダーのマニュアルを参照してください。
必要に応じて、ldconfig
を使用するか、またはLD_LIBRARY_PATH環境変数をエクスポートして、HSMベンダー・ライブラリをOpenSSLで使用できるようにします。たとえば、Thales社のnCipher製品ラインでは、ソフトウェアがディレクトリ/opt/nfast
にインストールされていることを前提とし、次のコマンドを発行して実現します。
echo /opt/nfast/toolkits/hwcrhk > /etc/ld.so.conf.d/ncipher.conf ldconfig
必須コレクタ・システムを構成する手順は、次のとおりです。
レポータ・システム上で次のコマンドをRUEI_USERとして発行し、現在定義されているコレクタ・プロファイルのリストを取得します。
execsql config_get_profiles
この項で後述しているように、関連するプロファイル内のすべてのコレクタ・システムが、HSMデバイスに接続できるように構成されている必要があります。
HSMデバイスに格納されている秘密鍵にRUEIがアクセスするには、HSMデバイスへの接続が必要です。これは、OpenSSLエンジン(chil
など)を介して確立できます。次のコマンドを発行して、各必須コレクタ・システム上で必要なOpenSSLエンジンがサポートされているかどうかをテストします。
openssl engine -c engine
engine
にはベンダーのOpenSSLエンジンを指定します。次の出力例は、cswift
エンジンのサポートを示しています。
(cswift) CryptoSwift hardware engine support [RSA, DSA, DH, RAND]
次のコマンドを発行し、選択したOpenSSLエンジンを使用してHSMデバイスに実際に接続できるかどうかをテストします。
openssl engine -c -tt engine
次のような出力内容は、OpenSSLが使用できることを示しています。
(cswift) CryptoSwift hardware engine support [RSA, DSA, DH, RAND] [ available ]
HSM実装のログ・ファイルをチェックして、コレクタ・システムからHSMデバイスに正常に接続できることを確認します。たとえば、Thales社のnCipher製品ラインでは、これは/opt/nfast/log/hardserver.log
にあります。詳細は、HSMベンダーのマニュアルを参照してください。
次のコマンドをRUEI_USER
として発行し、各必須コレクタ・システム上で必要なOpenSSLエンジンを構成します。
execsql config_set_profile_valueprofile
ssl SSLUseEngine replaceengine
profile
には必須コレクタ・プロファイルを指定します。
各必須コレクタを再起動します。それには、「Configuration」→「Collector profiles」の順に選択します。必須コレクタ・プロファイルを選択します。選択したプロファイルに割り当てられているコレクタごとに、コンテキスト・メニューで「Restart」を選択します。
既存のHSM鍵をRUEIにインポートする場合は、それらが埋め込み型でモジュールによって保護されるようにする必要があります。すべての鍵がモジュールによって保護された状態でHSMデバイスに格納される必要があります。つまり、モジュールの鍵を使用して、ユーザー認証トークンを保護します。このような鍵にはパスフェーズがなく、対応するセキュリティ・ドメイン内でHSMデバイスに接続している任意のアプリケーションがアクセスできます。この説明はThales社の製品ラインに特有であることに注意してください。
既存の鍵が前述の要件を満たしていない場合は、それらをRUEIにインポートする前に再ターゲットする必要があります。この手順の詳細は、HSMベンダーのマニュアルを参照してください。
生成または再ターゲット後、HSMソフトウェアによって専用のPEMファイルが作成されます。このファイルはRUEIにインポートできます(13.4項「SSL鍵の管理」を参照)。PEMファイルには公開証明書が含まれている必要があります。生成されたPEMファイルに公開証明書が含まれていない場合は、PEMファイルに手動で追加する必要があります。実際には専用のPEMファイルにSSL鍵は含まれていませんが、HSMで格納されている鍵への参照が含まれています。
HSMデバイスに格納されている鍵が正常に暗号化されていることを検証するには、Collector Statisticsウィンドウで「SSL encryption」タブの情報を確認します。この機能の使用方法は、15.2項「コレクタのステータスの表示」に記載されています。