Αναθέστε την έκδοση πιστοποιητικών VPN χωρίς το ριζικό κλειδί

Το να δώσεις σε κάποιον τη δυνατότητα να εγγράφει πελάτες VPN και το να του δώσεις ένα φορητό αντίγραφο του ριζικού κλειδιού είναι δύο διαφορετικές πράξεις, και η διαφορά γίνεται ορατή μόνο όταν αυτό το άτομο φύγει ή αυτό το κλειδί διαρρεύσει. Το πρώτο παρέχει μια λειτουργία μέσα σε ροή εργασίας που ελέγχετε· το δεύτερο παρέχει τη δυνατότητα δημιουργίας εμπιστοσύνης οπουδήποτε, εκτός σύνδεσης, επ' αόριστον. Αποφασίστε ποιο από τα δύο χρειάζεται η εργασία πριν αγγίξετε οποιοδήποτε υλικό κλειδιού. Ένα διάγραμμα ιεραρχίας δεν θα απαντήσει αυτή την ερώτηση για εσάς.

Γράψτε την εργασία εγγραφής ως τρεις ερωτήσεις: ποιος μπορεί να ζητήσει, ποιος εγκρίνει και τι επιτρέπεται να υπογράψει το στοιχείο έκδοσης.

Αποφασίστε ποια δυνατότητα παραχωρείτε

Μια υπηρεσία έκδοσης μπορεί να εκθέσει ροή έγκρισης κρατώντας το υλικό υπογραφής σε ξεχωριστό ιδιοκτήτη. Ένας χειριστής εγκρίνει αίτημα συσκευής, η υπηρεσία εφαρμόζει πολιτική και καταγράφει την έκδοση, και κανείς από τους εμπλεκόμενους δεν κατέχει το κλειδί CA. Τεκμηριώστε τις επιτρεπόμενες ταυτότητες, τους εγκρίνοντες και το εύρος του τι επιτρέπεται να υπογράψει η υπηρεσία· μετά προστατέψτε τη διαχείρισή της εξίσου προσεκτικά με το κλειδί. Ένα αίτημα υπογραφής πιστοποιητικού είναι αίτημα, όχι απόφαση εξουσιοδότησης.

Η αποθήκευση με υποστήριξη υλικού αλλάζει τον κίνδυνο αντιγραφής του κλειδιού, όχι την ανάγκη εξουσιοδότησης. Μη εξαγώγιμο σημαίνει ότι το κλειδί δεν μπορεί να αφαιρεθεί, και δεν σημαίνει ότι όποιος μπορεί να καλέσει τη διεπαφή υπογραφής δικαιούται πιστοποιητικό. Αξιολογήστε αυτές τις δύο ιδιότητες χωριστά.

Ένα ενδιάμεσο περιορίζει την εξουσία

Μια ρίζα μπορεί να πιστοποιήσει ένα ενδιάμεσο για την καθημερινή έκδοση, ώστε η συνήθης εργασία να μην αγγίζει πλέον το ριζικό κλειδί, εφόσον οι διαδικασίες υπογραφής και ανάκτησης της ίδιας της ρίζας παραμένουν προστατευμένες. Είναι ένα πραγματικό όριο και δεν είναι δωρεάν: άλλο πιστοποιητικό, άλλο κλειδί, άλλη ανανέωση και άλλη λίστα ανάκλησης προς συντήρηση. Χρησιμοποιήστε ένα όταν αντιπροσωπεύει σκόπιμο όριο διαχείρισης ή κινδύνου. Η δημιουργία εκδότη ανά διαχειριστή παράγει περισσότερα από όλα και δεν αγοράζει τίποτα που η ροή εργασίας δεν παρείχε ήδη.

Ελέγξτε ότι οι επαληθευτές VPN χτίζουν την αλυσίδα όπως περιμένετε. Η αποστολή ενδιάμεσου για κατασκευή αλυσίδας και η εγκατάστασή του ως άμεσα έμπιστης άγκυρας είναι διαφορετικές ρυθμίσεις.

Το pathLen μηδέν δεν σημαίνει αυτό που νομίζετε

Το RFC 5280 ενότητα 4.2.1.9 ορίζει τους βασικούς περιορισμούς, και το πεδίο μήκους διαδρομής περιορίζει πόσα μη αυτοεκδοθέντα ενδιάμεσα πιστοποιητικά μπορούν να ακολουθήσουν σε μια έγκυρη διαδρομή. Η τιμή μηδέν περιορίζει το περαιτέρω ενδιάμεσο βάθος· δεν περιορίζει τον αριθμό των πιστοποιητικών τελικής οντότητας. Οι άνθρωποι το διαβάζουν ως μηδέν επιτρεπόμενα πιστοποιητικά και μετά αναρωτιούνται γιατί η έκδοση εξακολουθεί να λειτουργεί. Διαβάστε το πεδίο ως όριο βάθους για τις CA, και η συμπεριφορά γίνεται προβλέψιμη.

Η ίδια ενότητα υπονοεί ότι μια άγκυρα εμπιστοσύνης είναι είσοδος στην επικύρωση διαδρομής και όχι ένα συνηθισμένο πιστοποιητικό μέσα στη διαδρομή. Γι' αυτό η δημοσίευση εγγραφής ανάκλησης για αυτούπογραφόμενη ρίζα δεν την αφαιρεί αξιόπιστα από κάθε αποθήκη.

Η αποχώρηση δεν είναι παραβίαση κλειδιού

Όταν ο αποχωρών δεν κατείχε τίποτα παρά μόνο έναν προσωπικό λογαριασμό διαχείρισης, ανακαλέστε αυτή την πρόσβαση και τις συνεδρίες της μέσω της υποστηριζόμενης διαδικασίας ταυτότητας, και μετά ελέγξτε τη δραστηριότητα και τις εγκρίσεις που παρήγαγε. Πιστοποιητικά πελάτη που εκδόθηκαν προηγουμένως δεν γίνονται άκυρα επειδή έφυγε ο εγκρίνων τους, και η αντιμετώπισή τους ως παραβιασμένων δημιουργεί μια μεγάλη, περιττή επανεγγραφή. Η απενεργοποίηση λογαριασμού δεν μπορεί επίσης να ακυρώσει ένα αντιγραμμένο κλειδί υπογραφής, οπότε η απάντηση εξαρτάται από το ποια δυνατότητα κατειχόταν.

Όταν ένα ενδιάμεσο παραβιαστεί, η εξουσιοδότησή του πρέπει να ανακληθεί και κάθε ταυτότητα για την οποία εγγυήθηκε να αντικατασταθεί, σύμφωνα με όποια πολιτική εφαρμόζει ο επαληθευτής. Η εμπιστοσύνη της ρίζας χρειάζεται τη δική της απάντηση, γιατί η άγκυρα ζει σε αποθήκες εμπιστοσύνης που μπορεί να μην ελέγχετε.

Αποδεχτείτε τον σχεδιασμό με τέσσερις συγκεκριμένες περιπτώσεις: μια κατάλληλη συσκευή εγγράφεται, ένα μη εγκεκριμένο αίτημα απορρίπτεται, ένας χειριστής που αφαιρέθηκε δεν μπορεί πλέον να εκδώσει, και ένας εκδότης που αποσύρθηκε δεν παρέχει πλέον πρόσβαση. Αυτά τα τέσσερα αποτελέσματα είναι το runbook.