মূল কি ছাড়াই VPN সার্টিফিকেট ইস্যু ডেলিগেট করেন

কাউকে VPN ক্লায়েন্ট এনরোল করার ক্ষমতা দেওয়া এবং তাকে মূল কি-এর একটি বহনযোগ্য কপি দেওয়া দুই ভিন্ন কাজ, এবং পার্থক্যটি কেবল তখনই দৃশ্যমান হয় যখন সেই ব্যক্তি চলে যায় বা সেই কি ফ্যাঁস হয়। প্রথমটি আপনার নিয়ন্ত্রিত একটি ওয়ার্কফ্লোর ভেতরে একটি অপারেশন দেয়; দ্বিতীয়টি যেকোনো জায়গায়, অফলাইনে, অনির্দিষ্টকালের জন্য বিশ্বাস তৈরি করার ক্ষমতা দেয়। যেকোনো কি-মেটেরিয়াল স্পর্শ করার আগে সিদ্ধান্ত নিন কাজের কোনটি দরকার। একটি হায়ারার্কি ডায়াগ্রাম আপনার জন্য সেই প্রশ্নের উত্তর দেবে না।

এনরোলমেন্ট কাজটি তিনটি প্রশ্ন হিসেবে লিখুন: কে অনুরোধ করতে পারে, কে অনুমোদন করে, এবং ইস্যুকারী উপাদানটি কী স্বাক্ষর করতে পারে।

আপনি কোন সামর্থ্য দিচ্ছেন তা ঠিক করুন

একটি ইস্যুইং সার্ভিস অনুমোদন ওয়ার্কফ্লো দেখাতে পারে, আর স্বাক্ষরের উপাদান আলাদা মালিকের অধীনে রাখতে পারে। একজন অপারেটর ডিভাইসের অনুরোধ অনুমোদন করে, সার্ভিসটি নীতি প্রয়োগ করে এবং ইস্যু রেকর্ড করে, এবং জড়িত কেউই CA কি ধরে না। অনুমোদিত পরিচয়, অনুমোদনকারী এবং সার্ভিসটি কী স্বাক্ষর করতে পারে তার পরিসর নথিভুক্ত করুন; তারপর এর প্রশাসনকে কি-এর মতোই যত্নসহকারে সুরক্ষিত করুন। একটি সার্টিফিকেট সাইনিং অনুরোধ একটি অনুরোধ, কোনো অনুমোদন সিদ্ধান্ত নয়।

হার্ডওয়্যার-সমর্থিত স্টোরেজ কি কপি হবার আশংকা পরিবর্তন করে, অনুমোদনের প্রয়োজনীয়তা নয়। নন-এক্সপোর্টেবল মানে কি-টি বাইরে তোলা যায় না, এবং এর অর্থ এই নয় যে যে কেউ সাইনিং ইন্টারফেস কল করতে পারে তার একটি সার্টিফিকেট পাওয়ার অধিকার আছে। এই দুটি বৈশিষ্ট্য আলাদাভাবে মূল্যায়ন করুন।

ইন্টারমিডিয়েট কর্তৃত্বকে সীমাবদ্ধ করে

একটি রুট দৈনন্দিন ইস্যুর জন্য একটি ইন্টারমিডিয়েটকে সার্টিফায় করতে পারে, ফলে রুটিন কাজ আর মূল কি স্পর্শ করে না, যতক্ষণ রুটের নিজের স্বাক্ষর ও পুনরুদ্ধার পদ্ধতি সুরক্ষিত থাকে। এটি একটি বাস্তব সীমানা এবং এটি বিনামূল্য নয়: আরকটি সার্টিফিকেট, আরকটি কি, আরকটি নবায়ন এবং রক্ষণাবেক্ষণের জন্য আরকটি প্রত্যাহার তালিকা। এটি ব্যবহার করুন যখন এটি ইচ্ছাকৃত ব্যবস্থাপনা বা ঝুঁকির সীমানা উপস্থাপন করে। প্রতি প্রশাসকের জন্য একটি ইস্যুকারী তৈরি করলে সবকিছুর বেশি উৎপন্ন হয় এবং ওয়ার্কফ্লো আগে থেকেই যা দিনি নি তার বেশি কিছু কেনা হয় না।

যাচাই করুন যে VPN যাচাইকারীরা শৃঙ্খলটি আপনার প্রত্যাশামতো তৈরি করে। শৃঙ্খল নির্মাণের জন্য একটি ইন্টারমিডিয়েট পাঠানো এবং এটি সরাসরি বিশ্বস্ত অ্যাঙ্কর হিসেবে ইনস্টল করা ভিন্ন ব্যবস্থা।

pathLen শূন্য মানে আপনি যা ভাবছেন তা নয়

RFC 5280 ধারা 4.2.1.9 মৌলিক সীমাবদ্ধতা নির্ধারণ করে, এবং এর পথ-দৈর্ঘ্য ক্ষেত্রটি একটি বৈধ পথে কতগুলি অ-স্ব-ইস্যুকৃত ইন্টারমিডিয়েট সার্টিফিকেট অনুসরণ করতে পারে তা সীমাবদ্ধ করে। শূন্য মান আরও ইন্টারমিডিয়েট গভীরতা সীমিত করে; এটি প্রান্ত-সত্তা সার্টিফিকেটের সংখ্যা সীমিত করে না। লোকেরা এটিকে শূন্য সার্টিফিকেট অনুমোদিত হিসেবে পড়ে এবং তারপর ভাবে ইস্যু কেনো এখনও কাজ করে। ক্ষেত্রটিকে CA-এর উপর গভীরতার সীমা হিসেবে পড়ুন, আচরণটি পূর্বানুমেয় হয়ে যায়।

একই ধারা বোঝায় যে একটি বিশ্বস্ত অ্যাঙ্কর পথের ভেতরে একটি সাধারণ সার্টিফিকেট নয় বরং পথ যাচাইয়ের একটি ইনপুট। এজন্যই একটি স্ব-স্বাক্ষরিত রুটের জন্য প্রত্যাহার এন্ট্রি প্রকাশ করা এটিকে প্রতিটি স্টোর থেকে নির্ভরযোগ্যভাবে সরায় না।

অফবোর্ডিং কোনো কি-আপস নয়

যেখানে চলে যাওয়া ব্যক্তি ব্যক্তিগত ব্যবস্থাপনা অ্যাকাউন্ট ছাড়া আর কিছুই ধরে রাখনি, সেখানে সমর্থিত পরিচয় প্রক্রিয়ার মাধ্যমে সেই অ্যাক্সেস এবং এর সেশন প্রত্যাহার করুন, তারপর এটি যে কার্যকলাপ ও অনুমোদন তৈরি করেছে তা পর্যালোচনা করুন। আগে ইস্যু করা ক্লায়েন্ট সার্টিফিকেট তাদের অনুমোদনকারী চলে যাওয়ার কারণে অবৈধ হয় না, এবং সেগুলোকে আপস হিসেবে বিবেচনা করা একটি বড়, অপ্রয়োজনীয় পুনরায় এনরোলমেন্ট তৈরি করে। একটি অ্যাকাউন্ট নিষ্ক্রিয় করা একটি কপি করা সাইনিং কিকেও অবৈধ করতে পারে না, তাই প্রতিক্রিয়া নির্ভর করে কোন সামর্থ্য ধরে রাখা হয়েছিল তার উপর।

যখন একটি ইন্টারমিডিয়েট আপস হয়, তখন এর অনুমোদন প্রত্যাহার করতে হবে এবং এটি যে প্রতিটি পরিচয়ের জামিনদার ছিল তা প্রতিস্থাপন করতে হবে, যাচাইকারী যে নীতি প্রয়োগ করে তা অনুসরণ করে। রুট বিশ্বাসের নিজস্ব প্রতিক্রিয়া প্রয়োজন, কারণ অ্যাঙ্করটি এমন ট্রাস্ট স্টোরে বাস করে যা আপনি নিয়ন্ত্রণ নাও করতে পারেন।

চারটি নির্দিষ্ট ক্ষেত্রে নকশাটি গ্রহণ করুন: একটি উপযোগী ডিভাইস এনরোল করে, একটি অননুমোদিত অনুরোধ প্রত্যাখ্যাত হয়, একজন অপসারিত অপারেটর আর ইস্যু করতে পারে না, এবং একটি অবসরপ্রাপ্ত ইস্যুকারী আর অ্যাক্সেস দেয় না। সেই চারটি ফলাফলই রানবুক।