Delegue la emisión de certificados VPN sin la clave raíz

Entregar a alguien la capacidad de inscribir clientes VPN y entregarle una copia portátil de la clave raíz son actos distintos, y la diferencia solo se hace visible cuando esa persona se va o esa clave se filtra. El primero concede una operación dentro de un flujo de trabajo que usted controla; el segundo concede la capacidad de acuñar confianza en cualquier lugar, sin conexión, indefinidamente. Decida cuál de los dos necesita el trabajo antes de tocar cualquier material de clave. Un diagrama de jerarquía no le responderá esa pregunta.

Escriba la tarea de inscripción como tres preguntas: quién puede solicitar, quién aprueba y qué puede firmar el componente emisor.

Decida qué capacidad está concediendo

Un servicio emisor puede exponer un flujo de aprobación y mantener el material de firma bajo un propietario separado. Un operador aprueba una solicitud de dispositivo, el servicio aplica la política y registra la emisión, y nadie involucrado posee la clave de CA. Documente las identidades permitidas, los aprobadores y el alcance de lo que el servicio puede firmar; después proteja su administración con el mismo cuidado que la clave. Una solicitud de firma de certificado es una solicitud, no una decisión de autorización.

El almacenamiento con respaldo de hardware cambia el riesgo de copiar la clave, no la necesidad de autorización. No exportable significa que la clave no se puede extraer, y no significa que cualquiera capaz de llamar a la interfaz de firma tenga derecho a un certificado. Evalúe esas dos propiedades por separado.

Un intermedio acota la autoridad

Una raíz puede certificar un intermedio para la emisión diaria, de modo que el trabajo rutinario ya no toca la clave raíz, siempre que los procedimientos propios de firma y recuperación de la raíz sigan protegidos. Es una frontera real y no es gratuita: otro certificado, otra clave, otra renovación y otra lista de revocación que mantener. Use uno cuando represente una frontera deliberada de gestión o de riesgo. Crear un emisor por administrador produce más de todo y no compra nada que el flujo de trabajo no ofreciera ya.

Compruebe que los verificadores de VPN construyan la cadena como usted espera. Enviar un intermedio para construir la cadena e instalarlo como ancla directamente confiable son arreglos distintos.

pathLen cero no significa lo que usted cree

La RFC 5280 sección 4.2.1.9 define las restricciones básicas, y su campo de longitud de ruta limita cuántos certificados intermedios no emitidos por sí mismos pueden seguir en una ruta válida. Un valor de cero restringe más profundidad intermedia; no limita el número de certificados de entidad final. La gente lo lee como cero certificados permitidos y luego se pregunta por qué la emisión sigue funcionando. Lea el campo como un límite de profundidad para las CA, y el comportamiento se vuelve predecible.

La misma sección implica que un ancla de confianza es una entrada a la validación de ruta, no un certificado ordinario dentro de la ruta. Por eso publicar una entrada de revocación para una raíz autofirmada no la elimina de forma fiable de todos los almacenes.

La baja no es un compromiso de la clave

Cuando la persona que se va no tenía más que una cuenta personal de gestión, revoque ese acceso y sus sesiones mediante el proceso de identidad compatible, y después revise la actividad y las aprobaciones que produjo. Los certificados de cliente emitidos antes no se vuelven inválidos porque su aprobador se haya ido, y tratarlos como comprometidos crea una reinscripción grande e innecesaria. Desactivar una cuenta tampoco puede invalidar una clave de firma copiada, así que la respuesta depende de qué capacidad se poseía.

Cuando un intermedio se ve comprometido, hay que retirar su autorización y sustituir cada identidad que avaló, siguiendo la política que aplique el verificador. La confianza de la raíz necesita su propia respuesta, porque el ancla vive en almacenes de confianza que quizá no controle.

Acepte el diseño con cuatro casos concretos: un dispositivo elegible se inscribe, una solicitud no aprobada se rechaza, un operador que ha sido retirado ya no puede emitir y un emisor retirado ya no concede acceso. Esos cuatro resultados son el runbook.