Дэлегаваць выпуск сертыфікатаў VPN без каранёвага ключа

Дазволіць камусьці рэгістраваць кліентаў VPN і перадаць яму пераносную копію каранёвага ключа — гэта розныя дзеянні, і розніца становіцца бачнай толькі тады, калі гэты чалавек сыходзіць або гэты ключ трапляе ўцечку. Першае дае дзеянне ў межах працэсу, які вы кантралюеце; другое дае магчымасць ствараць давер дзе заўгодна, афлайн, бясконца. Вырашыце, што менавіта патрэбна задачы, перш чым дакранацца любога ключавага матэрыялу. Схема іерархіі не адкажа на гэтае пытанне за вас.

Апішыце задачу рэгістрацыі як тры пытанні: хто можа запытаць, хто ўзгадняе і што кампанент, які выпускае, мае права падпісваць.

Вызначце, якую магчымасць вы даяце

Сэрвіс выпуску можа прадастаўляць працэс узгаднення, трымаючы падпісвальны матэрыял у асобнага ўладальніка. Аператар ухваляе запыт прылады, сэрвіс прымяняе палітыку і запісвае выпуск, і ніхто з задзейнічаных не трымае ключ CA. Задакументуйце дазволеныя ідэнтычнасці, узгадняльнікаў і межы таго, што сэрвіс можа падпісваць; затым абараняйце яго адміністраванне гэтак сама старанна, як і ключ. Запыт на подпіс сертыфіката — гэта запыт, а не рашэнне аб аўтарызацыі.

Сховішча з апаратнай падтрымкай змяняе рызыку капіравання ключа, але не патрэбу ў аўтарызацыі. Неэкспартавальнасць азначае, што ключ нельга выняць, і не азначае, што любы, хто можа выклікаць інтэрфейс подпісу, мае права на сертыфікат. Ацэньвайце гэтыя дзве ўласцівасці асобна.

Прамежкавы сертыфікат абмяжоўвае паўнамоцтва

Корань можа пасведчыць прамежкавы сертыфікат для штодзённага выпуску, таму рутынная праца больш не дакранаецца каранёвага ключа, пакуль уласныя працэдуры подпісу і аднаўлення кораня застаюцца абароненымі. Гэта рэальная мяжа, і яна не бясплатная: яшчэ адзін сертыфікат, яшчэ адзін ключ, яшчэ адно абнаўленне і яшчэ адзін спіс адкліканняў для падтрымкі. Выкарыстоўвайце яго, калі ён уяўляе сабой наўмысную мяжу кіравання ці рызыкі. Стварэнне эмітэнта для кожнага адміністратара вырабляе больш усяго і не дае нічога, чаго працэс ужо не даваў.

Праверце, што вэрыфікатары VPN будуюць ланцуг так, як вы чакаеце. Пастаўка прамежкавага сертыфіката для пабудовы ланцуга і ўсталяванне яго як непасрэдна даверанага якара — гэта розныя ўладкаванні.

pathLen нуль не азначае тое, што вы думаеце

RFC 5280 раздзел 4.2.1.9 вызначае базавыя абмежаванні, і яго поле даўжыні шляху абмяжоўвае колькасць прамежкавых сертыфікатаў, выдадзеных не сабе, якія могуць ісці ў сапраўдным шляху. Значэнне нуль абмяжоўвае далейшую прамежкавую глыбіню; яно не абмяжоўвае колькасць сертыфікатаў канчатковых суб'ектаў. Людзі чытаюць гэта як нуль дазволеных сертыфікатаў і потым здзіўляюцца, чаму выпуск усё яшчэ працуе. Чытайце поле як абмежаванне глыбіні для CA, і паводзіны стануць прадказальнымі.

Той жа раздзел мяркуе, што якар даверу з'яўляецца ўваходам у праверку шляху, а не звычайным сертыфікатам унутры шляху. Вось чаму публікацыя запісу адклікання для самападпісанага кораня не выдаляе яго надзейна з кожнага сховішча.

Сыход супрацоўніка — не кампраметацыя ключа

Калі той, хто сыходзіць, меў толькі асабісты ўліковы запіс кіравання, адклікайце гэты доступ і яго сеансы праз падтрыманы працэс ідэнтычнасці, затым праглядзьце актыўнасць і ўзгадненні, якія ён стварыў. Раней выдадзеныя кліенцкія сертыфікаты не робяцца несапраўднымі таму, што іх узгадняльнік сышоў, і стаўленне да іх як да скампраметаваных стварае вялікую, непатрэбную перарэгістрацыю. Адключэнне ўліковага запісу таксама не можа зрабіць несапраўдным скапіяваны ключ подпісу, таму адказ залежыць ад таго, якая магчымасць была ва ўладанні.

Калі прамежкавы сертыфікат скампраметаваны, яго аўтарызацыя павінна быць адклікана, а кожная ідэнтычнасць, за якую ён ручаўся, заменена, згодна з любой палітыкай, якую прымяняе вэрыфікатар. Давер да кораня патрабуе ўласнага адказу, бо якар жыве ў сховішчах даверу, якія вы можаце не кантраляваць.

Прыміце дызайн з чатырма канкрэтнымі выпадкамі: прыдатная прылада рэгіструецца, неўзгоднены запыт адхіляецца, аператар, якога выдалілі, больш не можа выпускаць, а эмітэнт, які выйшаў на пенсію, больш не дае доступу. Гэтыя чатыры вынікі — і ёсць runbook.