@rho pokracujem odtialto RedFlags: Redizajn siete GOVNET
Ak spravme pozeram key vaulty azure/amazon/gcloud tak, aby bolo mozne pouzit SaaS sluzbu podla NASESu je potrebne:
- aby ten keyvault vedel generovat kluc na certifikovanom zariadeni (lebo inak si neviem prestavit ako tam privatny kluc niekto bezpecne donesie)
- aby SSL cert bol vygenerovany tiez na tomto HSM module (ak spravne pozeram, tak toto vie len azure) alebo sa spravi VPC cez IPSec tunel, tiez pomocou kluca generovaneho v CloudHSM (co stoji cca 1300$ mesacne)
Toto peklicko nam zabezpecuje len to, ze po ceste to nikto nebude “odpocuvat”. Predpokladam, ze na samotnu aplikaciu bude potrebna dalsia certifikacia (encryption at rest…).
Najvacsi problem vidim v tom, ze podla NASES neverime SSL certifikatom generovanym mimo HSM a IPSec tunel drviva vacsina sluzieb pokial viem nema. Takto si odrezeme kopec sluzieb, ktore by boli inak pouzitelne.
Uz je niekde navrh ako to bude fungovat? Existuje nejaka klasifikacia kedy treba riesit toto a kedy to netreba?