Delegujte vydávání VPN certifikátů bez kořenového klíče

Dát někoho možnost zařazovat klienty VPN a dát mu přenosnou kopii kořenového klíče jsou dva různé úkony a rozdíl se ukáže, teprve když ten člověk odejde nebo ten klíč unikne. První dává operaci v pracovním postupu, který ovládáte; druhé dává schopnost vytvářet důvěru kdekoli, offline, neomezeně. Rozhodněte, které z toho práce potřebuje, než se dotknete jakéhokoli klíčového materiálu. Hierarchické schéma vám tu otázku nezodpoví.

Zapište úkol zařazení jako tři otázky: kdo smí požádat, kdo schvaluje a co smí vydávající komponenta podepsat.

Rozhodněte, jakou schopnost dáváte

Vydávající služba může vystavit schvalovací postup a přitom držet podpisový materiál u odděleného vlastníka. Operátor schválí žádost o zařízení, služba uplatní zásady a zaznamená vydání a nikdo zúčastněný nemá klíč CA. Zdokumentujte povolené identity, schvalovatele a rozsah toho, co služba smí podepsat; pak chraňte její správu stejně pečlivě jako klíč. Žádost o podepsání certifikátu je žádost, ne rozhodnutí o autorizaci.

Úložiště s hardwarovou podporou mění riziko zkopírování klíče, ne potřebu autorizace. Neexportovatelnost znamená, že klíč nelze vyjmout, a neznamená, že každý, kdo může zavolat podpisové rozhraní, má nárok na certifikát. Posuďte tyto dvě vlastnosti odděleně.

Zprostředkující certifikát ohraničuje pravomoc

Kořen může certifikovat zprostředkující certifikát pro každodenní vydávání, takže rutinní práce už nesahá na kořenový klíč, dokud zůstanou chráněny vlastní postupy podepisování a obnovy kořene. Je to skutečná hranice a není zdarma: další certifikát, další klíč, další obnova a další seznam odvolaných k údržbě. Použijte jej, když představuje záměrnou hranici správy nebo rizika. Vytváření vydavatele pro každého správce produkuje více všeho a nekupuje nic, co pracovní postup už neposkytoval.

Zkontrolujte, že verifikátory VPN staví řetěz tak, jak očekáváte. Dodání zprostředkujícího certifikátu pro stavbu řetězu a jeho instalace jako přímo důvěryhodné kotvy jsou různá uspořádání.

pathLen nula neznamená to, co si myslíte

RFC 5280 oddíl 4.2.1.9 definuje základní omezení a jeho pole délky cesty omezuje, kolik zprostředkujících certifikátů, které nevydal sám sobě, může následovat v platné cestě. Hodnota nula omezuje další zprostředkující hloubku; neomezuje počet certifikátů koncových subjektů. Lidé to čtou jako nula povolených certifikátů a pak se diví, proč vydávání stále funguje. Čtěte pole jako omezení hloubky pro CA a chování se stane předvídatelným.

Tentýž oddíl naznačuje, že kotva důvěry je vstupem do validace cesty, nikoli běžným certifikátem uvnitř cesty. Proto zvĕřejnění záznamu o odvolání pro samopodepsaný kořen jej spolehlivě neodstraní z každého úložiště.

Odchod není kompromitace klíče

Když odcházející neměl nic než osobní správcovský účet, odvolejte tento přístup a jeho relace podporovaným procesem identit a poté projděte aktivitu a schválení, která vytvořil. Dříve vydané klientské certifikáty se nestávají neplatnými proto, že jejich schvalovatel odešel, a jejich považování za kompromitované vytváří velké, zbytečné opětovné zařazení. Deaktivace účtu také nemůže zneplatnit zkopírovaný podpisový klíč, takže reakce závisí na tom, která schopnost byla držena.

Když je zprostředkující certifikát kompromitován, jeho autorizace musí být odvolána a každá identita, za kterou ručil, nahrazena, podle zásad, které verifikátor vynucuje. Důvěra v kořen potřebuje vlastní reakci, protože kotva žije v úložištích důvěry, která nemusíte ovládat.

Přijměte návrh se čtyřmi konkrétními případy: vhodné zařízení se zařadí, neschválená žádost je odmítnuta, operátor, který byl odebrán, už nemůže vydávat, a vyřazený vydavatel už neuděluje přístup. Tyto čtyři výsledky jsou runbook.