Kok açar olmadan VPN sertifikatı verilməsini həvalə edin

Kiməsə VPN müştərilərini qeydiyyata almaq imkanı verməklə kök açarın daşınan surətini vermək fərqli əməllərdir və fərq yalnız həmin adam işdən çıxanda və ya açar sızanda görünür. Birincisi nəzarət etdiyiniz iş axını daxilində əməliyyat verir; ikincisi istənilən yerdə, oflayn, qeyri-müəyyən müddətə etimad yaratmaq imkanı verir. Hər hansı açar materialına toxunmadan əvvəl işin hansına ehtiyacı olduğunu qərarlaşdırın. İyerarxiya diaqramı bu suala sizin üçün cavab verməyəcək.

Qeydiyyat işini üç sual kimi yazın: kim sorğu verə bilər, kim təsdiqləyir və verən komponent nəyi imzalamağa icazəlidir.

Hansı imkanı verdiyinizi qərarlaşdırın

Verən xidmət imzalama materialını ayrı sahibin altında saxlayaraq təsdiq iş axını təqdim edə bilər. Operator cihaz sorğusunu təsdiqləyir, xidmət siyasəti tətbiq edir və verilişi qeyd edir, iştirak edən heç kim CA açarını saxlamır. İcazə verilən identiklikləri, təsdiqləyənləri və xidmətin imzalaya biləcəyi hədləri sənədləşdirin; sonra onun idarəetməsini açar qədər diqqətlə qoruyun. Sertifikat imzalama sorğusu sorğudur, səlahiyyət qərarı deyil.

Aparat dəstəkli saxlama açarın surətinin çıxarılması riskini dəyişir, avtorizasiya ehtiyacını yox. İxrac edilə bilməyən o deməkdir ki, açar çıxarıla bilməz; bu, imzalama interfeysini çağıra bilən hər kəsin sertifikata haqqı olduğu demək deyil. Bu iki xassəni ayrıca qiymətləndirin.

Aralıq sertifikat səlahiyyəti məhdudlaşdırır

Kök, gündəlik veriliş üçün aralıq sertifikatı təsdiqləyə bilər, beləliklə gündəlik iş kök açarına toxunmur, bir şərtlə ki, kökün öz imzalama və bərpa prosedurları qorunsun. Bu real sərhəddir və pulsuz deyil: daha bir sertifikat, daha bir açar, daha bir yeniləmə və saxlanmalı daha bir ləğv siyahısı. Onu yalnız qəsdən qoyulmuş idarəetmə və ya risk sərhədi təmsil edəndə istifadə edin. Hər administrator üçün verən yaratmaq hər şeydən daha çox istehsal edir və iş axınının artıq təmin etmədiyi heç nə almır.

VPN yoxlayıcılarının zəncirin gözlədiyiniz kimi qurduğunu yoxlayın. Aralıq sertifikatı zəncir qurmaq üçün göndərməklə onu birbaşa etibarlı anker kimi quraşdırmaq fərqli tənzimləmələrdir.

pathLen sıfır sizin düşündüyünüz məna daşımır

RFC 5280 bölmə 4.2.1.9 əsas məhdudiyyətləri müəyyən edir və onun yol uzunluğu sahəsi etibarlı yolda neçə özünü imzalamayan aralıq sertifikatın gələ biləcəyini məhdudlaşdırır. Sıfır dəyəri sonrakı aralıq dərinliyi məhdudlaşdırır; son istifadəçi sertifikatlarının sayını məhdudlaşdırmır. İnsanlar bunu sıfır sertifikata icazə kimi oxuyur və sonra verilişin niyə hələ işlədiyinə təəccüblənirlər. Sahəni CA-lar üçün dərinlik həddi kimi oxuyun, davranış proqnozlaşdırıla bilən olur.

Həmin bölmə etimad ankerinin yolun içində adi sertifikat deyil, yol yoxlamasının girişi olduğunu nəzərdə tutur. Buna görə özünü imzalayan kök üçün ləğv qeydi dərc etmək onu hər anbardan etibarlı şəkildə silmir.

İşdən çıxarma açar kompromisi deyil

Əgər gedən şəxs yalnız şəxsi idarəetmə hesabı saxlayırdısa, dəstəklənən identiklik prosesi ilə həmin girişi və sessiyalarını ləğv edin, sonra onun yaratdığı fəaliyyəti və təsdiqləri nəzərdən keçirin. Əvvəl verilmiş müştəri sertifikatları təsdiqləyənləri getdiyi üçün etibarsız olmur və onlara kompromis kimi baxmaq böyük, lazımsız yenidən qeydiyyat yaradır. Hesabın deaktiv edilməsi də surəti çıxarılmış imzalama açarını etibarsız edə bilməz, ona görə cavab hansı imkanın saxlanıldığından asılıdır.

Aralıq sertifikat kompromisə uğradıqda onun səlahiyyəti geri alınmalı və zəmanət verdiyi hər identiklik dəyişdirilməlidir, yoxlayıcının tətbiq etdiyi siyasətə uyğun olaraq. Kök etimadı öz cavabını tələb edir, çünki anker nəzarət etmədiyiniz etimad anbarlarında yaşayır.

Dizaynı dörd konkret hal ilə qəbul edin: uyğun cihaz qeydiyyatdan keçir, təsdiqlənməmiş sorğu rədd edilir, çıxarılmış operator artıq verə bilmir və işdən çıxarılmış verən artıq giriş vermir. Bu dörd nəticə runbook-dur.