Delegér udstedelse af VPN-certifikater uden rodnøglen

At give nogen muligheden for at tilmelde VPN-klienter og give dem en flytbar kopi af rodnøglen er to forskellige handlinger, og forskellen bliver først synlig, når den person forlader organisationen, eller nøglen lækker. Den første giver en handling i en arbejdsgang, du kontrollerer; den anden giver muligheden for at skabe tillid overalt, offline, på ubestemt tid. Beslut, hvilken af dem opgaven har brug for, før du rører ved noget nøglemateriale. Et hierarkidiagram vil ikke besvare det spørgsmål for dig.

Skriv tilmeldingsopgaven ned som tre spørgsmål: hvem må anmode, hvem godkender, og hvad den udstedende komponent må signere.

Beslut, hvilken evne du giver

En udstedende tjeneste kan eksponere en godkendelsesarbejdsgang og samtidig holde signeringsmaterialet hos en separat ejer. En operatør godkender en enhedsanmodning, tjenesten anvender politik og registrerer udstedelsen, og ingen involveret holder CA-nøglen. Dokumentér de tilladte identiteter, godkenderne og rækkevidden af, hvad tjenesten må signere; beskyt derefter dens administration lige så omhyggeligt som nøglen. En anmodning om certifikatsignering er en anmodning, ikke en autorisationsbeslutning.

Hardwarebaseret opbevaring ændrer risikoen for at kopiere nøglen, ikke behovet for autorisation. Ikke-eksporterbar betyder, at nøglen ikke kan løftes ud, og det betyder ikke, at enhver, der kan kalde signeringsgrænsefladen, har ret til et certifikat. Vurder de to egenskaber hver for sig.

Et mellemliggende certifikat begrænser beføjelsen

En rod kan certificere et mellemliggende certifikat til den daglige udstedelse, så rutinearbejde ikke længere rører rodnøglen, så længe rodens egne signerings- og gendannelsesprocedurer forbliver beskyttet. Det er en reel grænse, og den er ikke gratis: endnu et certifikat, endnu en nøgle, endnu en fornyelse og endnu en tilbagekaldelsesliste at vedligeholde. Brug et, når det repræsenterer en bevidst ledelses- eller risikogrænse. At oprette en udsteder pr. administrator producerer mere af alt og køber intet, som arbejdsgangen ikke allerede gav.

Kontrollér, at VPN-verifikatorerne bygger kæden, som du forventer. At levere et mellemliggende certifikat til kædeopbygning og installere det som et direkte betroet anker er forskellige arrangementer.

pathLen nul betyder ikke det, du tror

RFC 5280 afsnit 4.2.1.9 definerer grundlæggende begrænsninger, og dets sti-længdefelt begrænser, hvor mange mellemliggende certifikater, der ikke er selvudstedt, der kan følge i en gyldig sti. En værdi på nul begrænser yderligere mellemliggende dybde; det begrænser ikke antallet af slutentitetscertifikater. Folk læser det som nul tilladte certifikater og undrer sig så over, hvorfor udstedelsen stadig virker. Læs feltet som en dybdebegrænsning for CA'er, og adfærden bliver forudsigelig.

Samme afsnit antyder, at et tillidsanker er et input til stivalidering snarere end et almindeligt certifikat inde i stien. Derfor fjerner offentliggørelsen af en tilbagekaldelsespost for en selvsigneret rod den ikke pålideligt fra hvert lager.

Offboarding er ikke en nøglekompromittering

Hvor den afgående kun havde en personlig administrationskonto, tilbagekald den adgang og dens sessioner gennem den understøttede identitetsproces, og gennemgå derefter den aktivitet og de godkendelser, den har skabt. Tidligere udstedte klientcertifikater bliver ikke ugyldige, fordi deres godkender er gået, og at behandle dem som kompromitterede skaber en stor, unødvendig gentilmelding. Deaktivering af en konto kan heller ikke ugyldiggøre en kopieret signeringsnøgle, så svaret afhænger af, hvilken evne der blev holdt.

Når et mellemliggende certifikat er kompromitteret, skal dets autorisation tilbagekaldes, og enhver identitet, det har garanteret for, erstattes, efter den politik, verifikatoren håndhæver. Rodtillid kræver sit eget svar, fordi ankeret lever i tillidslagre, du måske ikke kontrollerer.

Accepter designet med fire konkrete tilfælde: en egnet enhed tilmelder sig, en ikke-godkendt anmodning afvises, en operatør, der er blevet fjernet, kan ikke længere udstede, og en udsteder, der er pensioneret, giver ikke længere adgang. De fire resultater er runbooken.