فوّض إصدار شهادات VPN دون مفتاح الجذر

أن تمنح شخصًا القدرة على تسجيل عملاء VPN، وأن تعطيه نسخة محمولة من مفتاح الجذر، فعلان مختلفان، ولا يظهر الفرق إلا عندما يغادر ذلك الشخص أو يتسرّب ذلك المفتاح. الأول يمنح عملية داخل سير عمل تتحكم فيه؛ والثاني يمنح القدرة على صناعة الثقة في أي مكان، دون اتصال، وبلا حد. قرّر أيّهما يحتاجه العمل قبل أن تلمس أي مادة مفتاح. لن يجيبك مخطط هرمي عن ذلك السؤال.

اكتب مهمة التسجيل في صيغة أسئلة ثلاثة: من يحق له الطلب، ومن يوافق، وما الذي يُسمح للمكوّن المُصدر بتوقيعه.

قرّر أي قدرة تمنح

يمكن لخدمة إصدار أن تعرض سير عمل موافقات مع إبقاء مادة التوقيع لدى مالك منفصل. يوافق مشغّل على طلب جهاز، وتطبّق الخدمة السياسة وتسجّل الإصدار، ولا أحد من المعنيين يحمل مفتاح CA. وثّق الهويات المسموح بها، والموافقين، ونطاق ما يجوز للخدمة توقيعه؛ ثم احمِ إدارتها بالعناية نفسها التي تحمي بها المفتاح. إن طلب توقيع الشهادة طلب، وليس قرار تفويض.

التخزين المدعوم بالعتاد يغيّر خطر نسخ المفتاح، لا الحاجة إلى التفويض. ومعنى عدم القابلية للتصدير أن المفتاح لا يمكن انتزاعه، ولا يعني أن كل من يستطيع نداء واجهة التوقيع يحق له الحصول على شهادة. قيّم هاتين الخاصيتين على نحو منفصل.

الوسيط يحدّ من السلطة

يمكن للجذر أن يمنح شهادة لوسيط من أجل الإصدار اليومي، بحيث لا يمسّ العمل الروتيني مفتاح الجذر، ما دامت إجراءات التوقيع والاستعادة الخاصة بالجذر محمية. هذا حدّ حقيقي وليس مجانيًا: شهادة أخرى، ومفتاح آخر، وتجديد آخر، وقائمة إلغاء أخرى يجب صيانتها. استخدمه حين يمثّل حدًّا إداريًا أو حدًّا للمخاطر عن قصد. أمّا إنشاء مُصدر لكل مسؤول فينتج المزيد من كل شيء ولا يشتري شيئًا لم يكن سير العمل يوفره أصلًا.

تحقّق من أن مدقّقي VPN يبنون السلسلة بالطريقة التي تتوقعها. إن شحن وسيط لبناء السلسلة وتثبيته كمرساة موثوقة مباشرةً ترتيبان مختلفان.

pathLen صفر لا يعني ما تظنه

يعرّف RFC 5280 القسم 4.2.1.9 القيود الأساسية، ويحدّد حقل طول المسار فيها عدد الشهادات الوسيطة غير الصادرة ذاتيًا التي يجوز أن تتبع في مسار صالح. القيمة صفر تقيّد عمقًا وسيطًا إضافيًا؛ ولا تحدّ من عدد شهادات الطرف النهائي. يقرأه الناس على أنه صفر شهادات مسموح بها ثم يتساءلون لماذا ما زال الإصدار يعمل. اقرأ الحقل كحدّ للعمق على سلطات الشهادات، يصبح السلوك متوقعًا.

يشير القسم نفسه إلى أن مرساة الثقة مُدخل في التحقّق من المسار، لا شهادة عادية داخل المسار. لهذا فإن نشر قيد إلغاء لجذر موقّع ذاتيًا لا يزيله بشكل موثوق من كل مخزن.

إنهاء الخدمة ليس اختراقًا للمفتاح

حين لا يكون المغادر قد حمل سوى حساب إداري شخصي، ألغِ ذلك الوصول وجلساته عبر عملية الهويات المعتمدة، ثم راجع النشاط والموافقات التي أنتجها. لا تصبح شهادات العملاء الصادرة سابقًا باطلة لأن موافقها غادر، ومعاملتها على أنها مخترقة تخلق إعادة تسجيل كبيرة لا داعي لها. كما أن تعطيل حساب لا يمكنه إبطال مفتاح توقيع منسوخ، لذا يتوقف الردّ على القدرة التي كانت محمولة.

عندما يُخترق وسيط، يجب سحب تفويضه واستبدال كل هوية شهد لها، وفقًا لأي سياسة يفرضها المدقّق. وثقة الجذر تحتاج ردًّا خاصًّا بها، لأن المرساة تعيش في مخازن ثقة قد لا تتحكم فيها.

اقبل التصميم بأربع حالات ملموسة: جهاز مؤهل يسجّل، وطلب غير معتمد يُرفض، ومشغّل أُزيل لا يستطيع الإصدار بعد الآن، ومُصدر أُحيل للتقاعد لم يعد يمنح الوصول. تلك النتائج الأربع هي دليل التشغيل.