Nid yw CSR ar ei ben ei hun yn gofrestriad: beth sy'n rhaid i CA VPN ei wirio

Mae cais llofnodi tystysgrif yn cario allwedd gyhoeddus a phwnc gofynnol, wedi'i lofnodi â'r allwedd breifat gyfatebol. Mae'r llofnod hwnnw'n profi bod gan y ceisydd yr allwedd. Nid yw'n profi bod gan y ceisydd hawl i'r enw, y ddyfais neu'r rôl VPN sy'n cael ei gofyn, ac mae trin y cais fel pe bai'n profi hynny yw'r ffordd y daw tocyn desg gymorth yn ganiatâd mynediad.

Mae dau fodel cofrestru yn werth eu cymharu yn ôl yr hyn maent yn ei rwymo, nid yn ôl pa brotocol maent yn ei siarad.

Mae cais yn honni enw, nid yn ei brofi

Darllenwch y cais am yr hyn sydd ynddo mewn gwirionedd: allwedd gyhoeddus, pwnc a ddewiswyd gan y ceisydd, a hunanlofnod dros y ddau. Nid oes dim yn y strwythur hwnnw'n cyfeirio at eich rhestr eiddo, eich cyfeiriadur cyfrifon na'ch llif cymeradwyo. Mae pwnc cn=finance-laptop yn llinyn a deipiwyd gan rywun. Hyd nes y bydd y broses gyhoeddi yn gwirio'r llinyn hwnnw yn erbyn cofnod y mae'n ymddiried ynddo, mae'r dystysgrif yn honiad gyda llofnod ynghlwm. Y gwahaniaeth hwnnw yw'r rheswm cyfan dros fod proses gofrestru'n bodoli.

Mae'r canlyniad yn bwysig yn weithredol. Nid oes angen allwedd breifat y cleient ar awdurdod tystysgrif erioed i gyhoeddi tystysgrif, ac mae llif sy'n gofyn am un wedi cymysgu llofnodi ag ymddiried allweddi. Cadwch gynhyrchu ar y pen draw a danfonwch y hanner cyhoeddus yn unig.

Cymharwch y modelau yn ôl yr hyn maent yn ei rwymo

Mae llofnodi â llaw yn rhwymo'r hyn y mae'r gweithredwr yn cofio ei wirio. Mae gwasanaeth cofrestru awtomataidd yn rhwymo cais dilysedig i benderfyniad y gall y gwasanaeth ei orfodi, ac mae RFC 7030 yn disgrifio un dyluniad o'r fath lle mae'r cleient yn dilysu cyn i dystysgrif gael ei dychwelyd. Nid awtomeiddio yw'r gwahaniaeth sy'n goroesi archwiliad; y gwahaniaeth yw a yw'r gwiriad hunaniaeth yn digwydd y tu mewn i'r llwybr cyhoeddi neu wrth ei ymyl.

Mae'n rhaid i'r naill fodel a'r llall ateb yr un tri chwestiwn o hyd. Pwy sy'n gofyn, ar ba ddyfais neu rôl, ac am ba mor hir. Mae system docynnau sy'n cofnodi'r atebion yn gwneud gwaith go iawn; nid yw ciw lle mae rhywun yn syllu ar enw cyffredin yn gwneud, waeth pa mor ofalus y fformateir y dystysgrif wedyn.

Dewiswch y model yn ôl nifer y cofrestriadau rydych yn eu disgwyl ac yn ôl trosiant y dyfeisiau. Gall ychydig o weinyddwyr y flwyddyn oroesi adolygiad â llaw gyda rhestr wirio ysgrifenedig. Ni all llu o liniaduron.

Cofnodwch y cylch bywyd o'r cyhoeddiad cyntaf

Storiwch adnabyddwr y dystysgrif, y perchennog, y defnydd arfaethedig, y dyddiad dod i ben a'r llwybr tynnu ar adeg cyhoeddi, nid ar yr achosion cyntaf. Mae'r defnydd arfaethedig yn perthyn i'r dystysgrif ei hun drwy ddefnydd allwedd estynedig, a dylai'r cofnod gyd-fynd ag ef. Na ddylai tystysgrif a fathwyd ar gyfer dilysu cleientiaid fod yn amhosibl ei gwahaniaethu oddi wrth un ar gyfer gweinydd.

Cynlluniwch adnewyddu a dirymu dyfais goll cyn i chi gyhoeddi'r degfed proffil. Mae tystysgrif a rennir ar draws adran yn troi tynnu wedi'i dargedu yn amhariad, ac mae'n llawer rhatach ailystyried y penderfyniad hwnnw nawr nag yn ystod digwyddiad ddydd Gwener.

Gwiriwch y dystysgrif a gyhoeddwyd, yna'r mynediad

Ar ôl cofrestru, archwiliwch yr hyn a gyhoeddwyd a chadarnhewch ei fod yn cadwyno i'r awdurdod rydych yn ei ddisgwyl. Mae dau orchymyn yn cwmpasu'r camgymeriadau cyffredin: tystysgrif â'r defnydd anghywir, a chadwyn sy'n gweithio dim ond oherwydd bod y cleient wedi'i ffurfweddu i anwybyddu dilysu.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Yna profwch y mynediad yn hytrach na'r arteffact. Mae tystysgrif yn sefydlu hunaniaeth, ac mae'r polisi'n dal i benderfynu pa wasanaethau y caiff y hunaniaeth honno eu cyrraedd. Gwiriwch y ddau, oherwydd mae arteffact cywir gyda pholisi rhy eang yn methu adolygiad o hyd. Cadarnhewch fod y cleient yn dilysu ac yn cael dim ond y llwybrau neu'r adnoddau a fwriadwyd. Nodwch yr hyn a welsoch, nid yr hyn y dylai'r proffil fod wedi ei wneud.

Bydd proffil sy'n gweithio am y rheswm anghywir, fel enw cyffredin cyfatebol a dim gwiriad hunaniaeth, yn parhau i weithio ar ôl i'r rheolaeth roeddech yn credu oedd gennych gael ei thynnu.