Vee VPN-sertifikaatuitreiking delegeer sonder die wortelsleutel

Om aan iemand die vermoe te gee om VPN-kliënte te registreer, en om aan hom 'n draagbare kopie van die wortelsleutel te gee, is twee verskillende dade, en die verskil word eers sigbaar wanneer daardie persoon vertrek of daardie sleutel uitlek. Die eerste gee 'n handeling binne 'n werkvloei wat jy beheer; die tweede gee die vermoe om vertroue enige plek, aanlyn of vanlyn, onbepaald te skep. Besluit watter een die taak nodig het voordat jy enige sleutelmateriaal aanraak. 'n Hierargiediagram sal daardie vraag nie vir jou beantwoord nie.

Skryf die registrasietaak as drie vrae neer: wie mag aanvra, wie keur goed, en wat die uitreikende komponent mag onderteken.

Besluit watter vermoe jy verleen

'n Uitreikende diens kan 'n goedkeuringswerkvloei blootstel terwyl die ondertekenmateriaal onder 'n aparte eienaar gehou word. 'n Operateur keur 'n toestelaanvraag goed, die diens pas beleid toe en teken die uitreiking aan, en niemand wat betrokke is hou die CA-sleutel nie. Dokumenteer die toegelate identiteite, die goedkeurders en die omvang van wat die diens mag onderteken; beskerm dan sy administrasie net so sorgvuldig soos die sleutel. 'n Sertifikaatondertekeningsaanvraag is 'n aanvraag, nie 'n magtigingsbesluit nie.

Hardewaregesteunde berging verander die risiko dat die sleutel gekopieer word, nie die behoefte aan magtiging nie. Nie-uitvoerbaar beteken die sleutel kan nie uitgehaal word nie, en dit beteken nie dat enigiemand wat die ondertekeningskoppelvlak kan aanroep, geregtig is op 'n sertifikaat nie. Beoordeel daardie twee eienskappe afsonderlik.

'n Tussenganger beperk die gesag

'n Wortel kan 'n tussenganger sertifiseer vir daaglikse uitreiking, sodat roetinewerk nie meer die wortelsleutel raak nie, solank die wortel se eie ondertekenings- en herstelprosedures beskerm bly. Dit is 'n werklike grens en dit is nie gratis nie: nog 'n sertifikaat, nog 'n sleutel, nog 'n hernuwing en nog 'n herroepingslys om te onderhou. Gebruik een wanneer dit 'n doelbewuste bestuurs- of risikogrens verteenwoordig. Om 'n uitreiker per administrateur te skep, produseer meer van alles en koop niks wat die werkvloei nie reeds gebied het nie.

Kontroleer dat die VPN-verifieerders die ketting bou soos jy verwag. Om 'n tussenganger vir kettingbou te stuur en om dit as 'n direk vertroude anker te installeer, is verskillende reelings.

pathLen nul beteken nie wat jy dink nie

RFC 5280 afdeling 4.2.1.9 definieer basiese beperkings, en sy padlengteveld beperk hoeveel nie-selfuitgereikte tussensertifikate in 'n geldige pad mag volg. 'n Waarde van nul beperk verdere tussenliggende diepte; dit beperk nie die aantal entsertifikate nie. Mense lees dit as nul sertifikate toegelaat en wonder dan waarom uitreiking steeds werk. Lees die veld as 'n dieptebeperking op CA's, en die gedrag word voorspelbaar.

Dieselfde afdeling impliseer dat 'n vertrouensanker 'n inset tot padvalidering is, eerder as 'n gewone sertifikaat binne die pad. Dit is waarom die publisering van 'n herroepingsinset vir 'n selfondertekende wortel dit nie betroubaar uit elke stoor verwyder nie.

Ontslagneming is nie 'n sleutelkompromie nie

Waar die vertrekker niks anders as 'n persoonlike bestuursrekening gehad het nie, herroep daardie toegang en sy sessies deur die ondersteunde identiteitsproses, en hersien dan die aktiwiteit en goedkeurings wat dit opgelewer het. Voorheen uitgereikte klientsertifikate word nie ongeldig omdat hul goedkeurder vertrek het nie, en om hulle as gekompromitteer te behandel skep 'n groot, onnodige herregistrasie. Om 'n rekening te deaktiveer kan ook nie 'n gekopieerde ondertekeningsleutel ongeldig maak nie, so die reaksie hang daarvan af watter vermoe gehou is.

Wanneer 'n tussenganger gekompromitteer word, moet sy magtiging teruggetrek word en elke identiteit waarvoor hy ingestaan het, vervang word, volgens die beleid wat die verifieerder afdwing. Wortelvertroue het sy eie reaksie nodig, want die anker woon in vertrouensstore wat jy dalk nie beheer nie.

Aanvaar die ontwerp met vier konkrete gevalle: 'n geskikte toestel registreer, 'n nie-goedgekeurde aanvraag word geweier, 'n operateur wat verwyder is, kan nie meer uitreik nie, en 'n uitreiker wat afgetree is, verleen nie meer toegang nie. Daardie vier resultate is die runbook.