En CSR alene er ikke tilmelding: hvad en VPN-CA skal kontrollere

En anmodning om certifikatsignering indeholder en offentlig nøgle og et ønsket subject, signeret med den matchende private nøgle. Den signatur beviser, at anmoderen har nøglen. Den beviser ikke, at anmoderen har ret til navnet, enheden eller den VPN-rolle, der bedes om, og at behandle anmodningen, som om den gjorde det, er netop, hvordan en helpdesk-billet bliver til en adgangstilladelse.

To tilmeldingsmodeller er værd at sammenligne efter, hvad de binder, ikke efter hvilken protokol de taler.

En anmodning hævder et navn, den beviser det ikke

Læs anmodningen for det, den faktisk indeholder: en offentlig nøgle, et subject som anmoderen har valgt, og en selvsignatur over begge. Intet i den struktur refererer til jeres varefortegnelse, jeres kontokatalog eller jeres godkendelsesflow. Et subject som cn=finance-laptop er en streng, som nogen har skrevet. Indtil udstedelsesprocessen kontrollerer den streng mod en post, den har tillid til, er certifikatet en påstand med en signatur vedhæftet. Den forskel er hele grunden til, at en tilmeldingsproces findes.

Følgen betyder noget driftsmæssigt. En certifikatmyndighed har aldrig brug for klientens private nøgle for at udstede et certifikat, og et flow, der beder om en, har forvekslet signering med nøgleopbevaring. Hold generering på endepunktet og send kun den offentlige halvdel.

Sammenlign modellerne efter, hvad de binder

Manuel signering binder det, operatøren husker at kontrollere. En automatiseret tilmeldingstjeneste binder en autentificeret anmodning til en beslutning, tjenesten kan håndhæve, og RFC 7030 beskriver et sådant design, hvor klienten autentificerer, før et certifikat returneres. Forskellen, der overlever en revision, er ikke automatisering; det er, om identitetskontrollen sker inde i udstedelsesvejen eller ved siden af den.

Begge modeller skal stadig svare på de samme tre spørgsmål. Hvem spørger, på hvilken enhed eller rolle, og i hvor lang tid. Et sagsystem, der registrerer svarene, udfører rigtigt arbejde; en kø, hvor nogen kigger på et fælles navn, gør ikke, uanset hvor omhyggeligt certifikatet senere formateres.

Vælg modellen efter antallet af tilmeldinger, du forventer, og efter udskiftningen af enheder. En håndfuld servere om året kan overleve manuel gennemgang med en skriftlig tjekliste. En flåde af bærbare kan ikke.

Registrer livscyklussen fra den første udstedelse

Gem certifikatets id, ejeren, det tilsigtede brug, udløbet og fjernelsesvejen i det øjeblik, det udstedes, ikke ved den første hændelse. Det tilsigtede brug hører til i selve certifikatet gennem en udvidet nøglebrug, og posten skal stemme overens med det. Et certifikat lavet til klientautentificering bør ikke være umuligt at skelne fra et til en server.

Planlæg fornyelse og tilbagekaldelse af mistede enheder, før I udsteder den tiende profil. Et certifikat, der deles på tværs af en afdeling, gør en målrettet fjernelse til en afbrydelse, og den beslutning er meget billigere at tage op nu end under en fredagshændelse.

Kontrollér det udstedte certifikat, derefter adgangen

Efter tilmelding, undersøg hvad der blev udstedt, og bekræft, at det kæder til den myndighed, I forventer. To kommandoer dækker de almindelige fejl: et certifikat med det forkerte brug, og en kæde, der kun virker, fordi klienten er konfigureret til at ignorere validering.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Test derefter adgangen i stedet for artefakten. Et certifikat fastslår identitet, og politikken afgør stadig, hvilke tjenester den identitet må nå. Kontrollér begge, fordi en korrekt artefakt sammen med en alt for bred politik stadig ikke består en revision. Bekræft, at klienten autentificerer og kun modtager de tilsigtede ruter eller ressourcer. Notér, hvad I observerede, ikke hvad profilen skulle gøre.

En profil, der virker af den forkerte grund, for eksempel et matchende fælles navn og ingen identitetskontrol, vil blive ved med at virke, efter den kontrol, I troede, I havde, er fjernet.