Ένα CSR από μόνο του δεν είναι εγγραφή: τι πρέπει να ελέγχει μια CA VPN

Ένα αίτημα υπογραφής πιστοποιητικού φέρει δημόσιο κλειδί και ένα ζητούμενο subject, υπογεγραμμένο με το αντίστοιχο ιδιωτικό κλειδί. Αυτή η υπογραφή αποδεικνύει ότι ο αιτών κατέχει το κλειδί. Δεν αποδεικνύει ότι ο αιτών δικαιούται το όνομα, τη συσκευή ή τον ρόλο VPN που ζητά, και το να το αντιμετωπίζουμε σαν να το αποδεικνύει είναι ακριβώς πώς ένα δελτίο help desk γίνεται παραχώρηση πρόσβασης.

Αξίζει να συγκρίνουμε δύο μοντέλα εγγραφής με το τι δεσμεύουν, όχι με το ποιο πρωτόκολλο μιλούν.

Ένα αίτημα δηλώνει ένα όνομα, δεν το αποδεικνύει

Διαβάστε το αίτημα για αυτό που πραγματικά περιέχει: δημόσιο κλειδί, ένα subject που επέλεξε ο αιτών και μια αυτοϋπογραφή πάνω και στα δύο. Τίποτα σε αυτή τη δομή δεν παραπέμπει στο απόθεμά σας, στον κατάλογο λογαριασμών ή στη ροή έγκρισης. Ένα subject όπως cn=finance-laptop είναι μια συμβολοσειρά που πληκτρολόγησε κάποιος. Μέχρι η διαδικασία έκδοσης να ελέγξει αυτή τη συμβολοσειρά απέναντι σε ένα αρχείο που εμπιστεύεται, το πιστοποιητικό είναι ένας ισχυρισμός με υπογραφή. Αυτή η διάκριση είναι ολόκληρος ο λόγος ύπαρξης μιας διαδικασίας εγγραφής.

Το επακόλουθο έχει επιχειρησιακή σημασία. Μια αρχή πιστοποιητικών δεν χρειάζεται ποτέ το ιδιωτικό κλειδί του πελάτη για να εκδώσει πιστοποιητικό, και μια ροή που ζητά ένα έχει μπερδέψει την υπογραφή με τη φύλαξη κλειδιών. Κρατήστε την παραγωγή στο άκρο και στείλτε μόνο το δημόσιο μισό.

Συγκρίνετε τα μοντέλα με το τι δεσμεύουν

Η χειροκίνητη υπογραφή δεσμεύει ό,τι θυμάται να ελέγξει ο χειριστής. Μια αυτοματοποιημένη υπηρεσία εγγραφής δεσμεύει ένα πιστοποιημένο αίτημα σε μια απόφαση που η υπηρεσία μπορεί να επιβάλει, και το RFC 7030 περιγράφει ένα τέτοιο σχέδιο όπου ο πελάτης πιστοποιείται πριν επιστραφεί πιστοποιητικό. Η διαφορά που αντέχει σε έλεγχο δεν είναι η αυτοματοποίηση — είναι αν ο έλεγχος ταυτότητας γίνεται μέσα στη διαδρομή έκδοσης ή δίπλα της.

Και τα δύο μοντέλα πρέπει ακόμη να απαντήσουν στις ίδιες τρεις ερωτήσεις. Ποιος ζητά, σε ποια συσκευή ή ρόλο και για πόσο. Ένα σύστημα δελτίων που καταγράφει τις απαντήσεις κάνει πραγματική δουλειά, ενώ μια ουρά όπου κάποιος κοιτάζει ένα κοινό όνομα δεν κάνει, όσο προσεκτικά κι αν μορφοποιηθεί αργότερα το πιστοποιητικό.

Διαλέξτε το μοντέλο με βάση τον αριθμό των εγγραφών που περιμένετε και την εναλλαγή συσκευών. Λίγοι διακομιστές τον χρόνο αντέχουν χειροκίνητη αναθεώρηση με γραπτή λίστα ελέγχου. Ένας στόλος φορητών δεν αντέχει.

Καταγράψτε τον κύκλο ζωής από την πρώτη έκδοση

Αποθηκεύστε το αναγνωριστικό του πιστοποιητικού, τον κάτοχο, την προβλεπόμενη χρήση, τη λήξη και τη διαδρομή αφαίρεσης τη στιγμή της έκδοσης, όχι στο πρώτο περιστατικό. Η προβλεπόμενη χρήση ανήκει στο ίδιο το πιστοποιητικό μέσω εκτεταμένης χρήσης κλειδιού, και το αρχείο πρέπει να συμφωνεί με αυτή. Ένα πιστοποιητικό που εκδόθηκε για πιστοποίηση πελάτη δεν πρέπει να είναι δυσδιάκριτο από ένα για διακομιστή.

Σχεδιάστε την ανανέωση και την ανάκληση χαμένης συσκευής πριν εκδώσετε το δέκατο προφίλ. Ένα πιστοποιητικό που μοιράζεται σε ένα τμήμα μετατρέπει μια στοχευμένη αφαίρεση σε διακοπή, και αυτή η απόφαση είναι πολύ φθηνότερο να επανεξεταστεί τώρα παρά κατά τη διάρκεια ενός περιστατικού Παρασκευής.

Επαληθεύστε το εκδοθέν πιστοποιητικό και μετά την πρόσβαση

Μετά την εγγραφή, εξετάστε τι εκδόθηκε και επιβεβαιώστε ότι αλυσιδώνει προς την αρχή που περιμένετε. Δύο εντολές καλύπτουν τα συνηθισμένα λάθη: πιστοποιητικό με λάθος χρήση και αλυσίδα που λειτουργεί μόνο επειδή ο πελάτης είναι ρυθμισμένος να αγνοεί την επαλήθευση.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Έπειτα δοκιμάστε την πρόσβαση και όχι το τεχνούργημα. Το πιστοποιητικό θεμελιώνει ταυτότητα, και η πολιτική εξακολουθεί να αποφασίζει ποιες υπηρεσίες μπορεί να προσεγγίσει αυτή η ταυτότητα. Ελέγξτε και τα δύο, γιατί ένα σωστό τεχνούργημα με υπερβολικά ευρεία πολιτική αποτυγχάνει επίσης σε αναθεώρηση. Επιβεβαιώστε ότι ο πελάτης πιστοποιείται και λαμβάνει μόνο τις προβλεπόμενες διαδρομές ή πόρους. Καταγράψτε τι παρατηρήσατε, όχι τι υποτίθεται ότι έκανε το προφίλ.

Ένα προφίλ που λειτουργεί για λάθος λόγο, όπως κοινό όνομα που ταιριάζει και κανένας έλεγχος ταυτότητας, θα συνεχίσει να λειτουργεί αφού αφαιρεθεί ο έλεγχος που νομίζατε ότι είχατε.