Tək CSR qeydiyyat deyil: VPN CA nəyi yoxlamalıdır

Sertifikat imza sorğusu açıq açarı və tələb olunan subyekti daşıyır və uyğun şəxsi açarla imzalanır. Bu imza sorğu göndərənin açarı saxladığını sübut edir. O, sorğu göndərənin istənilən ad, cihaz və ya VPN roluna haqqı olduğunu sübut etmir və buna sanki sübut edirmiş kimi baxmaq kömək masası biletinin giriş icazəsinə çevrilmə üsuludur.

İki qeydiyyat modelini danışdıqları protokola görə deyil, nəyi bağladıqlarına görə müqayisə etməyə dəyər.

Sorğu adı iddia edir, onu sübut etmir

Sorğunu həqiqətən nə daşıdığına görə oxuyun: açıq açar, sorğu göndərənin seçdiyi subyekt və hər ikisi üzərində öz-imza. Bu strukturda inventarınıza, hesab kataloqunuza və ya təsdiq iş axınınıza istinad edən heç nə yoxdur. cn=finance-laptop kimi subyekt kiminsə yazdığı sətirdir. Verilmə prosesi həmin sətri etibar etdiyi qeydlə yoxlayana qədər sertifikat imza əlavə olunmuş iddiadır. Bu fərq qeydiyyat prosesinin mövcud olmasının bütün səbəbidir.

Bunun əməli nəticəsi var. Sertifikat orqanı sertifikat vermək üçün heç vaxt müştərinin şəxsi açarına ehtiyac duymur və onu tələb edən iş axını imzalamanı açar saxlanması ilə qarışdırmış olur. Yaratmanı son nöqtədə saxlayın və yalnız açıq yarısını göndərin.

Modelləri nəyi bağladıqlarına görə müqayisə edin

Əl ilə imzalama operatorun yoxlamağı xatırladığı hər şeyi bağlayır. Avtomatlaşdırılmış qeydiyyat xidməti autentifikasiya edilmiş sorğunu xidmətin tətbiq edə biləcəyi qərara bağlayır və RFC 7030 müştərinin sertifikat qaytarılmazdan əvvəl autentifikasiya etdiyi belə bir dizaynı təsvir edir. Auditdən sağ çıxan fərq avtomatlaşdırma deyil; kimlik yoxlamasının verilmə yolunun içində, yoxsa yanında baş verməsidir.

Hər iki model yenə də eyni üç suala cavab verməlidir. Kim soruşur, hansı cihazda və ya rolda və nə qədər müddətə. Cavabları qeyd edən bilet sistemi real iş görür; kiminsə ümumi ada baxdığı növbə isə görmür, sertifikat sonradan nə qədər diqqətlə formatlansa da.

Modeli gözlədiyiniz qeydiyyat sayına və cihazların dövriyyəsinə görə seçin. İldə bir neçə server yazılı yoxlama siyahısı ilə əl ilə baxışdan keçə bilər. Noutbuk parkı isə keçə bilməz.

Həyat dövrünü ilk verilmədən qeyd edin

Sertifikat identifikatorunu, sahibini, nəzərdə tutulan istifadəni, bitmə tarixini və silinmə yolunu ilk hadisədə deyil, verilmə anında saxlayın. Nəzərdə tutulan istifadə genişləndirilmiş açar istifadəsi ilə sertifikatın özünə aid olmalıdır və qeyd onunla uyğunlaşmalıdır. Müştəri autentifikasiyası üçün yaradılan sertifikat server üçün olandan fərqləndirilə bilməz olmamalıdır.

Onuncu profili verməzdən əvvəl yenilənməni və itirilmiş cihazın ləğvini planlaşdırın. Bir şöbə üzrə paylaşılan sertifikat məqsədli silinməni fasiləyə çevirir və bu qərara indi yenidən baxmaq cümə günü hadisəsi zamanı baxmaqdan qat-qat ucuzdur.

Verilən sertifikatı, sonra girişi yoxlayın

Qeydiyyatdan sonra nəyin verildiyini yoxlayın və gözlədiyiniz orqana zəncirləndiyini təsdiqləyin. İki əmr ümumi səhvləri əhatə edir: yanlış istifadəli sertifikat və yalnız müştərinin yoxlamanı laqeyd etməyə konfiqurasiya olunduğu üçün işləyən zəncir.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Sonra artefaktı deyil, girişi sınaqdan keçirin. Sertifikat kimliyi müəyyən edir və hansı xidmətlərə bu kimliyin çata biləcəyini hələ də siyasət qərar verir. Hər ikisini yoxlayın, çünki düzgün artefakt həddindən geniş siyasətlə birlikdə yenə də baxışdan keçmir. Müştərinin autentifikasiya etdiyini və yalnız nəzərdə tutulan marşrutları və ya resursları aldığını təsdiqləyin. Gördüyünüzü qeyd edin, profilin nə etməli olduğunu deyil.

Səhv səbəbdən işləyən profil, məsələn uyğun ümumi ad və heç bir kimlik yoxlaması, sizin sahib olduğunuzu düşündüyünüz nəzarət silindikdən sonra da işləməyə davam edəcək.