طلب توقيع الشهادة وحده ليس تسجيلًا: ما يجب أن يتحقق منه مركز شهادات VPN

يحمل طلب توقيع الشهادة مفتاحًا عامًا وموضوعًا مطلوبًا، موقّعًا بالمفتاح الخاص المطابق. ذلك التوقيع يثبت أن مقدم الطلب يملك المفتاح. ولا يثبت أن مقدم الطلب يستحق الاسم أو الجهاز أو دور VPN المطلوب، والتعامل معه كأنه يثبت ذلك هو كيف تتحول تذكرة مكتب المساعدة إلى منح وصول.

يستحق نموذجا تسجيل المقارنة بما يربطانه، لا بالبروتوكول الذي يتحدثانه.

الطلب يعلن اسمًا ولا يثبته

اقرأ الطلب على حقيقته: مفتاح عام، وموضوع اختاره مقدم الطلب، وتوقيع ذاتي على الاثنين. لا شيء في ذلك البنية يشير إلى جردك أو دليل حساباتك أو سير عمل الموافقة لديك. موضوع مثل cn=finance-laptop هو نص كتبه شخص ما. وإلى أن يتحقق عملية الإصدار من ذلك النص مقابل سجل تثق به، تكون الشهادة ادعاءً مرفقًا به توقيع. هذا التمييز هو كامل سبب وجود عملية تسجيل.

للهذا نتيجة عملية مهمة. مركز الشهادات لا يحتاج أبدًا المفتاح الخاص للعميل لإصدار شهادة، وسير عمل يطلبه قد خلط بين التوقيع وحفظ المفاتيح. أبقِ التوليد على الطرف، وأرسل النصف العام فقط.

قارن النموذجين بما يربطانه

التوقيع اليدوي يربط ما يتذكره المشغّل للتحقق منه. خدمة التسجيل الآلية تربط طلبًا موثّق الهوية بقرار تستطيع الخدمة فرضه، ويصف RFC 7030 أحد هذه التصاميم حيث يصادق العميل قبل أن تُعاد إليه شهادة. الفرق الذي يصمد أمام التدقيق ليس الأتمتة؛ بل هل يحدث التحقق من الهوية داخل مسار الإصدار أم بجانبه.

على أي من النموذجين أن يجيب عن الأسئلة الثلاثة نفسها. من يسأل، وعلى أي جهاز أو دور، ولأي مدة. نظام التذاكر الذي يسجّل الأجوبة يقوم بعمل حقيقي؛ أما صف يحدّق فيه أحدهم في اسم شائع فليس كذلك، مهما كانت العناية في تنسيق الشهادة لاحقًا.

اختر النموذج بحسب عدد عمليات التسجيل التي تتوقعها وتغيّر الأجهزة. حفنة من الخوادم سنويًا يمكنها النجاة بمراجعة يدوية وقائمة تحقق مكتوبة. أما أسطول من الحواسيب المحمولة فلا.

سجّل دورة الحياة من الإصدار الأول

خزّن معرّف الشهادة والمالك والاستخدام المقصود وتاريخ الانتهاء ومسار الإزالة لحظة الإصدار، لا عند أول حادثة. الاستخدام المقصود ينبغي أن يكون في الشهادة نفسها عبر استخدام مفتاح موسّع، ويجب أن يتفق السجل معه. الشهادة المصدرة لمصادقة العميل يجب ألا تكون غير قابلة للتمييز عن شهادة لخادم.

خطّط للتجديد وإبطال الجهاز المفقود قبل أن تصدر الملف الشخصي العاشر. الشهادة المشتركة عبر إدارة ما تحوّل إزالة موجهة إلى انقطاع، ومراجعة ذلك القرار الآن أرخص بكثير من مراجعته أثناء حادثة يوم الجمعة.

تحقّق من الشهادة الصادرة، ثم من الوصول

بعد التسجيل، افحص ما صدر وتأكد من أنه يتسلسل إلى الجهة التي تتوقعها. أمران يغطيان الأخطاء الشائعة: شهادة باستخدام خاطئ، وسلسلة تعمل فقط لأن العميل مضبوط على تجاهل التحقق.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

ثم اختبر الوصول بدلًا من الأثر نفسه. الشهادة تثبت الهوية، ولا تزال السياسة هي التي تقرر الخدمات التي قد تصل إليها تلك الهوية. افحص الاثنين، لأن أثرًا صحيحًا مقترنًا بسياسة واسعة أكثر من اللازم يفشل في المراجعة أيضًا. تأكد من أن العميل يصادق ولا يتلقى سوى المسارات أو الموارد المقصودة. سجّل ما لاحظته، لا ما كان يُفترض أن يفعله الملف الشخصي.

الملف الشخصي الذي يعمل للسبب الخاطئ، كاسم شائع مطابق دون أي تحقق من الهوية، سيستمر في العمل بعد إزالة الضبط الذي ظننت أنك تملكه.