Делегиране на издаването на VPN сертификати без основния ключ
Издаването на сертификати е разрешение; притежаването на основния ключ е възможност. Междинният сертификат ограничава първото, а премахването на акаунт не е компрометиране.
Да дадеш на някого възможността да записва VPN клиенти и да му дадеш преносимо копие на основния ключ са различни действия и разликата става видима само когато този човек напусне или ключът изтече. Първото дава операция в работен процес, който контролирате; второто дава възможност да се създава доверие навсякъде, офлайн, за неопределено време. Решете кое от двете е нужно на задачата, преди да докоснете какъвто и да е ключов материал. Йерархична диаграма няма да отговори на този въпрос вместо вас.
Запишете задачата по записването като три въпроса: кой може да заяви, кой одобрява и какво издаващият компонент има право да подписва.
Решете каква възможност давате
Издаваща услуга може да предостави процес на одобрение, като държи подписващия материал при отделен собственик. Оператор одобрява заявка за устройство, услугата прилага политика и записва издаването, и никой от участниците не държи ключа на CA. Документирайте разрешените идентичности, одобряващите и обхвата на това, което услугата може да подписва; след това защитете администрирането ѝ толкова внимателно, колкото и ключа. Заявката за подписване на сертификат е заявка, а не решение за оторизация.
Съхранението с хардуерна поддръжка променя риска от копиране на ключа, но не нуждата от оторизация. Неизносимостта означава, че ключът не може да бъде изваден, и не означава, че всеки, който може да извика интерфейса за подписване, има право на сертификат. Оценете тези две свойства поотделно.
Междинният сертификат ограничава правомощието
Основен сертификат може да удостовери междинен за ежедневно издаване, така че рутинната работа вече не докосва основния ключ, стига собствените процедури за подписване и възстановяване на основата да остават защитени. Това е истинска граница и не е безплатна: още един сертификат, още един ключ, още едно подновяване и още един списък за отменяне за поддръжка. Използвайте такъв, когато представлява съзнателна граница за управление или риск. Създаването на издател за всеки администратор произвежда повече от всичко и не купува нищо, което процесът вече не е осигурявал.
Проверете дали верификаторите на VPN изграждат веригата така, както очаквате. Доставянето на междинен сертификат за изграждане на веригата и инсталирането му като директно доверена котва са различни настройки.
pathLen нула не означава това, което мислите
RFC 5280 раздел 4.2.1.9 дефинира основните ограничения и полето за дължина на пътя ограничава колко междинни сертификата, издадени не на себе си, могат да следват в валиден път. Стойност нула ограничава по-нататъшната междинна дълбочина; тя не ограничава броя на сертификатите за крайни обекти. Хората го четат като нула разрешени сертификата и после се чудят защо издаването още работи. Четете полето като ограничение за дълбочина на CA и поведението става предвидимо.
Същият раздел подсказва, че котвата на доверие е вход за валидиране на пътя, а не обикновен сертификат вътре в пътя. Затова публикуването на запис за отменяне за самоподписан основен сертификат не го премахва надеждно от всяко хранилище.
Напускането не е компрометиране на ключ
Когато напускащият е държал само личен административен акаунт, отменете този достъп и сесиите му чрез поддържания процес за идентичности, след което прегледайте активността и одобренията, които е създал. Предишно издадените клиентски сертификати не стават невалидни, защото одобряващият им е напуснал, и третирането им като компрометирани създава голямо, ненужно повторно записване. Деактивирането на акаунт също не може да обезсили копиран ключ за подписване, така че отговорът зависи от това каква възможност е била притежавана.
Когато междинен сертификат бъде компрометиран, оторизацията му трябва да бъде отеглена и всяка идентичност, за която е ручал, да бъде заменена, следвайки каквато и политика верификаторът налага. Доверието в основата изисква собствен отговор, защото котвата живее в хранилища за доверие, които може да не контролирате.
Приемете дизайна с четири конкретни случая: подходящо устройство се записва, неодобрена заявка се отхвърля, оператор, който е бил премахнат, вече не може да издава, а издател, който е пенсиониран, вече не дава достъп. Тези четири резултата са runbook-ът.