Net 'n CSR is nie registrasie nie: wat 'n VPN-CA moet nagaan

'n Sertifikaatondertekeningsversoek bevat 'n publieke sleutel en 'n aangevraagde subjek, onderteken met die ooreenstemmende private sleutel. Daardie handtekening bewys dat die versoeker die sleutel besit. Dit bewys nie dat die versoeker geregtig is op die naam, die toestel of die VPN-rol wat gevra word nie, en om dit te behandel asof dit wel so is, is hoe 'n helpdesk-tiket 'n toegangstoekenning word.

Twee registrasiemodelle is die moeite werd om te vergelyk volgens wat hulle bind, nie volgens watter protokol hulle praat nie.

'n Versoek beweer 'n naam, dit bewys nie een nie

Lees die versoek vir wat dit werklik bevat: 'n publieke sleutel, 'n subjek wat die versoeker gekies het, en 'n selfhandtekening oor albei. Niks in daardie struktuur verwys na jou inventaris, jou rekeninggids of jou goedkeuringswerkvloei nie. 'n Subjek van cn=finance-laptop is 'n string wat iemand getik het. Totdat die uitreikproses daardie string teen 'n rekord vergelyk wat dit vertrou, is die sertifikaat 'n bewering met 'n handtekening aangeheg. Daardie onderskeid is die hele rede waarom 'n registrasieproses bestaan.

Die gevolgtrekking maak operasioneel saak. 'n Sertifikaatowerheid het nooit die kliënt se private sleutel nodig om 'n sertifikaat uit te reik nie, en 'n werkvloei wat een vra, het ondertekening met sleutelbewaring verwar. Hou generering op die eindpunt en stuur net die publieke helfte.

Vergelyk die modelle volgens wat hulle bind

Handmatige ondertekening bind alles wat die operateur onthou om na te gaan. 'n Geoutomatiseerde registrasiediens bind 'n geoutentifiseerde versoek aan 'n besluit wat die diens kan afdwing, en RFC 7030 beskryf een so 'n ontwerp waar die kliënt authentiseer voordat 'n sertifikaat teruggegee word. Die verskil wat 'n oudit oorleef, is nie outomatisering nie; dit is of die identiteitskontrole binne die uitreikpad plaasvind of daarlangs.

Elke model moet steeds dieselfde drie vrae beantwoord. Wie vra, op watter toestel of rol, en vir hoe lank. 'n Tikketstelsel wat die antwoorde aanteken, doen regte werk; 'n tou waar iemand na 'n algemene naam loer, doen dit nie, maak nie saak hoe sorgvuldig die sertifikaat later geformateer word nie.

Kies die model volgens die aantal registrasies wat jy verwag en die omset van toestelle. 'n Handvol bedieners per jaar kan 'n handmatige hersiening met 'n geskrewe kontrolelys oorleef. 'n Vloot skootrekenaars kan nie.

Teken die lewensiklus vanaf die eerste uitreiking aan

Stoor die sertifikaatidentifiseerder, die eienaar, die beoogde gebruik, die vervaldatum en die verwyderingspad op die oomblik van uitreiking, nie by die eerste voorval nie. Die beoogde gebruik hoort deur 'n uitgebreide sleutelgebruik in die sertifikaat self, en die rekord moet daarmee ooreenstem. 'n Sertifikaat wat vir kliëntauthentisering geslaan is, moet nie van een vir 'n bediener ononderskeibaar wees nie.

Beplan hernuwing en herroeping van verlore toestelle voordat jy die tiende profiel uitreik. 'n Sertifikaat wat oor 'n departement gedeel word, verander 'n gerigte verwydering in 'n onderbreking, en daardie besluit is baie goedkoper om nou te herbesoek as tydens 'n Vrydag-voorval.

Verifieer die uitgereikte sertifikaat, dan die toegang

Kontroleer ná registrasie wat uitgereik is en bevestig dat dit aan die owerheid wat jy verwag, koppel. Twee opdragte dek die algemene foute: 'n sertifikaat met die verkeerde gebruik, en 'n ketting wat net werk omdat die kliënt gekonfigureer is om validering te ignoreer.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Toets dan die toegang eerder as die artefak. 'n Sertifikaat vestig identiteit, en die beleid besluit steeds watter dienste daardie identiteit mag bereik. Kontroleer albei, want 'n korrekte artefak saam met 'n te wye beleid slaag steeds nie 'n hersiening nie. Bevestig dat die kliënt authentiseer en slegs die beoogde roetes of hulpbronne ontvang. Teken aan wat jy waargeneem het, nie wat die profiel veronderstel was om te doen nie.

'n Profiel wat om die verkeerde rede werk, soos 'n ooreenstemmende algemene naam en geen identiteitskontrole nie, sal aanhou werk nadat die beheer wat jy gedink het jy het, verwyder is.