Un CSR sol no és registre: què ha de comprovar una CA de VPN

Una sol·licitud de signatura de certificat conté una clau pública i un subjecte sol·licitat, signats amb la clau privada corresponent. Aquesta signatura prova que el sol·licitant té la clau. No prova que tingui dret al nom, al dispositiu o al rol de VPN que demana, i tractar-la com si ho provés és com un tiquet d'assistència es converteix en una concessió d'accés.

Val la pena comparar dos models de registre per allò que vinculen, no pel protocol que parlen.

Una sol·licitud afirma un nom, no el prova

Llegiu la sol·licitud pel que realment conté: una clau pública, un subjecte triat pel sol·licitant i una autosignatura sobre tots dos. Res d'aquesta estructura no fa referència al vostre inventari, al directori de comptes ni al flux d'aprovació. Un subjecte cn=finance-laptop és una cadena que algú ha escrit. Fins que el procés d'emissió no comprovi aquesta cadena contra un registre de confiança, el certificat és una afirmació amb una signatura adjunta. Aquesta distinció és tota la raó per la qual existeix un procés de registre.

El corol·lari importa operativament. Una autoritat de certificació no necessita mai la clau privada del client per emetre un certificat, i un flux que la demana ha confós la signatura amb la custòdia de claus. Manteniu la generació a l'extrem i envieu només la meitat pública.

Compareu els models per allò que vinculen

La signatura manual vincula allò que l'operador recorda comprovar. Un servei de registre automatitzat vincula una sol·licitud autenticada a una decisió que el servei pot fer complir, i RFC 7030 descriu un disseny així on el client s'autentica abans que es retorni un certificat. La diferència que sobreviu a una auditoria no és l'automatització; és si la comprovació d'identitat passa dins del camí d'emissió o al costat.

Tots dos models encara han de respondre les mateixes tres preguntes. Qui demana, en quin dispositiu o rol, i per quant de temps. Un sistema de tiquets que enregistra les respostes fa feina real; una cua on algú mira un nom comú no, per molt acuradament que es formategi el certificat després.

Trieu el model pel nombre de registres que espereu i per la rotació de dispositius. Uns quants servidors a l'any poden sobreviure a una revisió manual amb una llista de verificació escrita. Una flota d'ordinadors portàtils no.

Enregistreu el cicle de vida des de la primera emissió

Emmagatzemeu l'identificador del certificat, el propietari, l'ús previst, la caducitat i el camí de retirada en el moment de l'emissió, no al primer incident. L'ús previst pertany al mateix certificat mitjançant un ús de clau estès, i el registre ha de concordar-hi. Un certificat creat per a l'autenticació de clients no ha de ser indistingible d'un per a un servidor.

Planifiqueu la renovació i la revocació d'un dispositiu perdut abans d'emetre el desè perfil. Un certificat compartit per un departament converteix una retirada puntual en una interrupció, i revisar aquesta decisió ara és molt més barat que durant un incident de divendres.

Verifiqueu el certificat emès i després l'accés

Després del registre, inspeccioneu què s'ha emès i confirmeu que encadena amb l'autoritat que espereu. Dues ordres cobreixen els errors habituals: un certificat amb l'ús equivocat i una cadena que només funciona perquè el client està configurat per ignorar la validació.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Després proveu l'accés, no l'artefacte. Un certificat estableix la identitat, i la política encara decideix a quins serveis pot arribar aquesta identitat. Comproveu les dues coses, perquè un artefacte correcte amb una política massa àmplia també suspèn una revisió. Confirmeu que el client s'autentica i només rep les rutes o els recursos previstos. Anoteu què heu observat, no què havia de fer el perfil.

Un perfil que funciona per la raó equivocada, com un nom comú coincident i cap comprovació d'identitat, continuarà funcionant després que es retiri el control que creíeu tenir.