(Безопасность + Скорость + Удобство) х Надежность = защита устройств с VKey

Разбираем подробно, что это такое и как работает:

⚙️ Для доступа к корпоративным сетям, облачным ресурсам и админкам, внедрили новый сервис VKey, который обеспечивает защищенное хранение в TPM/Secure Enclave/Yubikey, контроль жизненного цикла SSH сертификатов и их использование только на доверенных устройствах.

🔑 Что делает VKey:

➡️ генерирует SSH ключи в выбранном Keyring ➡️ проводит аттестацию ключей SSH (проверяет политики доступа к Keyring) ➡️ подписывает SSH ключи соответствующим CA по результатам аттестации.

А еще сервис позволяет:
🔘входить по TouchID или ПИН-коду для TPM
🔘ротировать пользовательские, машинные и СА сертификаты
🔘снижает количество точек отказа – позволяет отказаться от бастион-хостов, снижая нагрузку на центральные сервисы
🔘безопасно подключаться к удаленным машинам благодаря SSH agent-forwarding
🔘масштабироваться и легко интегрироваться с другими сервисами (например, GitLab)

В карточках – схема архитектуры сервиса управления и описание, как происходит генерация SSH ключей.

💬 Пишите в комментариях, что еще хотите узнать про VKey.

VK Security

#vkey #разработка #endpoint

📱 VKey под капотом: политики, ключи, SSH-сертификаты

Продолжаем разбирать архитектуру VKey. Начало здесь.

➡️ Политики доступа к ключам

Для доступа приложений к ключу могут применяться разные методы:

🔹Ввод PIN-кода
🔹Использование биометрии (Touch ID / Windows Hello)

✅ Это позволяет реализовать разные сценарии работы

Сейчас мы используем 4 ключа в TPM/Secure Enclave:

🔹SSH (Dev) — политика не требует второго фактора;

🔹SSH (Prod) — политика требует обязательный второй фактор (TouchID, PIN, Windows Hello);

🔹VPN сертификат — без второго фактора;

🔹mTLS сертификат — с обязательным вторым фактором.

👍 Переход на SSH-сертификаты

Помимо хранения SSH-ключей в TPM/Secure Enclave, мы теперь используем SSH-сертификаты, которые генерируются на базе SSH-ключей. При использовании SSH-ключей необходимо копировать открытый ключ на каждый хост, к которому требуется доступ — и повторять эту процедуру для каждого пользователя.

🔹Преимущества:

🔹Не нужно раскладывать ключи по машинам
🔹Можно выдавать доступ по логину
🔹Разные CA для Dev и Prod позволяют разграничивать доступ

👉 В следующей части — расскажем, как VKey используется для VPN и mTLS.

#vkey #эксперты #разбор