Delegueu l'emissió de certificats VPN sense la clau arrel

Donar a algú la capacitat d'inscriure clients VPN i donar-li una còpia portàtil de la clau arrel són actes diferents, i la diferència només es fa visible quan aquesta persona marxa o aquesta clau es filtra. El primer atorga una operació dins d'un flux de treball que controleu; el segon atorga la capacitat de crear confiança a qualsevol lloc, fora de línia, indefinidament. Decidiu quina de les dues necessita la feina abans de tocar cap material de clau. Un diagrama de jerarquia no us respondrà aquesta pregunta.

Escriviu la feina d'inscripció com a tres preguntes: qui pot sol·licitar, qui aprova i què pot signar el component emissor.

Decidiu quina capacitat atorgueu

Un servei emissor pot exposar un flux d'aprovació mentre manté el material de signatura sota un propietari separat. Un operador aprova una sol·licitud de dispositiu, el servei aplica la política i registra l'emissió, i ningú dels implicats no té la clau de CA. Documenteu les identitats permeses, els aprovadors i l'abast del que el servei pot signar; després protegiu-ne l'administració tan acuradament com la clau. Una sol·licitud de signatura de certificat és una sol·licitud, no una decisió d'autorització.

L'emmagatzematge amb suport de maquinari canvia el risc de copiar la clau, no la necessitat d'autorització. No exportable vol dir que la clau no es pot extreure, i no vol dir que qualsevol que pugui cridar la interfície de signatura tingui dret a un certificat. Avalueu aquestes dues propietats per separat.

Un intermedi limita l'autoritat

Una arrel pot certificar un intermedi per a l'emissió diària, de manera que la feina rutinària ja no toca la clau arrel, sempre que els procediments propis de signatura i recuperació de l'arrel continuïn protegits. És una frontera real i no és gratuïta: un altre certificat, una altra clau, una altra renovació i una altra llista de revocació per mantenir. Feu-ne servir un quan representi una frontera deliberada de gestió o de risc. Crear un emissor per administrador produeix més de tot i no compra res que el flux de treball ja no oferís.

Comproveu que els verificadors de VPN construeixin la cadena tal com espereu. Enviar un intermedi per construir la cadena i instal·lar-lo com a àncora directament de confiança són disposicions diferents.

pathLen zero no vol dir el que penseu

La RFC 5280 secció 4.2.1.9 defineix les restriccions bàsiques, i el seu camp de longitud de camí limita quants certificats intermedis no emesos per si mateixos poden seguir en un camí vàlid. Un valor de zero restringeix més profunditat intermèdia; no limita el nombre de certificats d'entitat final. La gent ho llegeix com a zero certificats permesos i després es pregunta per què l'emissió encara funciona. Llegiu el camp com un límit de profunditat per a les CA, i el comportament es torna predictible.

La mateixa secció implica que una àncora de confiança és una entrada a la validació del camí, no un certificat ordinari dins del camí. Per això publicar una entrada de revocació per a una arrel autosignada no l'elimina de manera fiable de tots els magatzems.

Sortir no és un compromís de la clau

Quan la persona que marxa no tenia res més que un compte personal de gestió, revoqueu aquell accés i les seves sessions pel procés d'identitat compatible, i després reviseu l'activitat i les aprovacions que va produir. Els certificats de client emesos anteriorment no es tornen invàlids perquè el seu aprovador hagi marxat, i tractar-los com a compromesos crea una reinscripció gran i innecessària. Desactivar un compte tampoc no pot invalidar una clau de signatura copiada, així que la resposta depèn de quina capacitat es tenia.

Quan un intermedi queda compromès, cal retirar-ne l'autorització i substituir cada identitat que avalava, seguint la política que apliqui el verificador. La confiança de l'arrel necessita una resposta pròpia, perquè l'àncora viu en magatzems de confiança que potser no controleu.

Accepteu el disseny amb quatre casos concrets: un dispositiu elegible s'inscriu, una sol·licitud no aprovada es rebutja, un operador que ha estat eliminat ja no pot emetre, i un emissor jubilat ja no atorga accés. Aquests quatre resultats són el runbook.