Delegirajte izdavanje VPN certifikata bez korijenskog ključa

Dati nekome mogućnost da upisuje VPN klijente i dati mu prenosivu kopiju korijenskog ključa dva su različita čina, a razlika postaje vidljiva tek kada ta osoba ode ili taj ključ procuri. Prvo daje radnju unutar toka rada koji kontrolišete; drugo daje mogućnost stvaranja povjerenja bilo gdje, izvan mreže, neograničeno. Odlučite koje od toga posao treba prije nego što dotaknete bilo koji ključni materijal. Hijerarhijski dijagram vam neće odgovoriti na to pitanje.

Zapišite posao upisa kao tri pitanja: ko može zatražiti, ko odobrava i šta izdavačka komponenta smije potpisati.

Odlučite koju sposobnost dajete

Usluga izdavanja može izložiti tok odobravanja dok potpisni materijal drži kod odvojenog vlasnika. Operater odobrava zahtjev uređaja, usluga primjenjuje politiku i bilježi izdavanje, i niko uključen ne drži CA ključ. Dokumentujte dozvoljene identitete, odobravaoce i opseg onoga što usluga smije potpisati; zatim zaštitite njezinu administraciju jednako pažljivo kao ključ. Zahtjev za potpisivanje certifikata je zahtjev, a ne odluka o autorizaciji.

Pohrana podržana hardverom mijenja rizik kopiranja ključa, ali ne potrebu za autorizacijom. Neprenosivost znači da se ključ ne može izvaditi, a ne znači da svako ko može pozvati potpisno sučelje ima pravo na certifikat. Procijenite ta dva svojstva odvojeno.

Posredni certifikat ograničava ovlast

Korijen može ovjeriti posredni certifikat za svakodnevno izdavanje, tako da rutinski rad više ne dira korijenski ključ, sve dok su vlastiti postupci potpisivanja i oporavka korijena zaštićeni. To je stvarna granica i nije besplatna: još jedan certifikat, još jedan ključ, još jedno obnavljanje i još jedan popis opoziva za održavanje. Koristite ga kada predstavlja namjernu granicu upravljanja ili rizika. Stvaranje izdavaoca po administratoru proizvodi više svega i ne kupuje ništa što tok rada već nije pružao.

Provjerite da VPN verifikatori grade lanac onako kako očekujete. Dostavljanje posrednog certifikata za izgradnju lanca i instaliranje kao izravno pouzdanog sidra različiti su aranžmani.

pathLen nula ne znači ono što mislite

RFC 5280 odjeljak 4.2.1.9 definira osnovna ograničenja, a njegovo polje dužine puta ograničava koliko posrednih certifikata koji nisu sami sebi izdati može slijediti u valjanom putu. Vrijednost nula ograničava daljnju posrednu dubinu; ne ograničava broj certifikata krajnjih entiteta. Ljudi to čitaju kao nula dopuštenih certifikata i onda se pitaju zašto izdavanje još radi. Čitajte polje kao ograničenje dubine za CA i ponašanje postaje predvidivo.

Isti odjeljak podrazumijeva da je sidro povjerenja ulaz u validaciju puta, a ne običan certifikat unutar puta. Zato objavljivanje unosa opoziva za samopotpisani korijen ne uklanja ga pouzdano iz svake pohrane.

Odlazak nije kompromitiranje ključa

Kada onaj koji odlazi nije držao ništa osim osobnog administrativnog računa, opozovite taj pristup i njegove sesije kroz podržani proces identiteta, zatim pregledajte aktivnost i odobrenja koja je proizveo. Prethodno izdani klijentski certifikati ne postaju nevaljani zato što je njihov odobravalac otišao, a tretiranje kao kompromitiranih stvara veliko, nepotrebno ponovno upisivanje. Onemogućavanje računa također ne može poništiti kopirani potpisni ključ, pa odgovor ovisi o tome koja je sposobnost bila držana.

Kada je posredni certifikat kompromitiran, njegova autorizacija mora biti povučena, a svaki identitet za koji je jamčio zamijenjen, prema politici koju verifikator provodi. Povjerenje u korijen traži vlastiti odgovor, jer sidro živi u pohranama povjerenja koje možda ne kontrolišete.

Prihvatite dizajn s četiri konkretna slučaja: prikladan uređaj se upisuje, neodobreni zahtjev se odbija, uklonjeni operater više ne može izdavati i umirovljeni izdavalac više ne daje pristup. Ta četiri rezultata su runbook.