Un certificat per a un lloc només per VPN: DNS-01 o CA privada?

Tres condicions decideixen com ha d’obtenir el certificat un lloc web només per VPN: si controleu una zona DNS pública, si el nom d’amfitrió pot aparèixer en registres públics i si es pot donar a cada client una àncora de confiança privada. La ruta pública i la privada totes dues produeixen un cadenat que funciona i responen preguntes diferents. Triar-ne una sense resoldre aquestes condicions és com un lloc acaba amb un certificat públic que no volia, o amb un d’intern que la meitat dels clients rebutgen.

El certificat demostra el nom; la VPN i el DNS intern proporcionen el camí.

Dos camins cap a un nom de confiança

Un emissor públic amb validació DNS-01 demostra el control d’un nom mitjançant un registre TXT en una zona que controleu, de manera que el servei web mai no ha d’acceptar una connexió HTTP pública. Una CA privada emet certificats fulla per a noms interns i distribueix la seva àncora de confiança mitjançant la gestió de dispositius, de manera que cap registre públic no arriba a conèixer el nom. Tots dos són legítims, i l’elecció es deriva d’aquestes tres condicions i no de la comoditat. Cap de les dues rutes no proporciona la ruta ni l’entrada de resolució que necessita un client.

Un certificat públic també publica el nom d’amfitrió en els registres de transparència de certificats. Si el nom mateix és sensible, aquesta divulgació és una decisió de disseny i no un efecte secundari que es descobreix més tard.

DNS-01 sense exposar el servei

El registre de repte és una entrada TXT sota un prefix reservat a la zona, i l’emissor el llegeix del DNS autoritatiu. Trieu un client ACME i una integració DNS que puguin crear i eliminar aquest registre, i autoritzeu l’actualització de manera estreta: una credencial API d’abast limitat per a la zona, o un amfitrió controlat que només serveixi per a la validació. Donar al servidor d’aplicacions una credencial de registrador sense restriccions per renovar un sol certificat és molta més autoritat de la que cal. Quan diverses comandes comparteixen un nom, manteniu els seus valors TXT separats perquè netejar-ne un no elimini un valor que un altre encara necessita.

Espereu la propagació amb una comprovació contra els servidors autoritatius en lloc d’una espera fixa. El comportament de propagació depèn del proveïdor, i una espera que avui funciona no és cap prova sobre demà.

Clients gestionats i noms deliberadament privats

Els dispositius gestionats i els noms deliberadament privats s’ajusten bé a una CA interna. Distribuïu l’emissor de confiança mitjançant la gestió de dispositius i després emeteu certificats fulla per als noms previstos. Comproveu quin magatzem fa servir realment cada client, perquè una única importació al sistema operatiu no és una afirmació universal sobre tots els navegadors i aplicacions. La fixació de la fulla és una altra opció on estigui suportada explícitament, a costa d’una altra actualització de confiança sempre que la fulla canviï.

El canal de distribució importa tant com la clau: una arrel que ningú no instal·la no protegeix res.

La renovació forma part del disseny

Sigui quina sigui la ruta que trieu, la renovació necessita un responsable i un procediment. Refrescar la prova de validació, instal·lar el material nou i recarregar l’oient mitjançant el seu mecanisme suportat són tres passos separats, i només el primer l’automatitzen la majoria de clients ACME. Un certificat que es renova correctament però que mai no es carrega produeix la mateixa interrupció que un d’haver caducat.

El certificat no instal·la cap ruta VPN ni crea cap registre DNS intern. Els clients encara necessiten un resolutor que associï el nom a l’adreça privada i una ruta per arribar-hi. Proveu el lloc pel nom des d’un client que tingui tots dos.

Anoteu l’emissor, el mètode de validació, el canal de distribució de confiança i el mecanisme de recàrrega. Aquests quatre són el pla de renovació.