Delegeeri VPN-sertifikaatide väljastamine ilma juurvõtmeta

Kellelegi VPN-klientide registreerimise võime andmine ja talle juurvõtme kaasaskantava koopia andmine on kaks erinevat tegu ning erinevus ilmneb alles siis, kui see inimene lahkub või see võti lekib. Esimene annab toimingu teie kontrollitava töövoo sees; teine annab võime luua usaldust kõikjal, võrguühenduseta, määramata ajaks. Otsustage, millist neist töö vajab, enne kui puudutate ükskõik millist võtmematerjali. Hierarhia diagramm ei vasta sellele küsimusele teie eest.

Kirjutage registreerimistöö üles kolme küsimusena: kes tohib taotleda, kes kinnitab ja mida väljastav komponent tohib allkirjastada.

Otsustage, millist võimet te annate

Väljastusteenus saab pakkuda kinnitamise töövoogu, hoides allkirjastamismaterjali eraldi omaniku juures. Operaator kinnitab seadme taotluse, teenus rakendab poliitikat ja registreerib väljastamise ning ükski osaleja ei hoia CA-võtit. Dokumenteerige lubatud identiteedid, kinnitajad ja see, mida teenus tohib allkirjastada; seejärel kaitske selle haldust sama hoolikalt kui võtit. Sertifikaadi allkirjastamistaotlus on taotlus, mitte autoriseerimisotsus.

Riistvaraga toetatud salvestus muudab võtme kopeerimise riski, kuid mitte autoriseerimise vajadust. Mitte-eksporditav tähendab, et võtit ei saa välja tõsta, ja see ei tähenda, et igalühel, kes saab allkirjastamislidest kutsuda, on õigus sertifikaadile. Hinnake neid kahte omadust eraldi.

Vahesertifikaat piirab volitust

Juur saab igapäevaseks väljastamiseks sertifitseerida vahesertifikaadi, nii et rutiinne töö ei puuduta enam juurvõtit, kui juure enda allkirjastamis- ja taastemenetlused jäävad kaitstuks. See on tõeline piir ja see ei ole tasuta: veel üks sertifikaat, veel üks võti, veel üks uuendamine ja veel üks tühistamisnimekiri, mida hooldada. Kasutage seda, kui see esindab teadlikku haldus- või riskipiiri. Iga administraatori jaoks väljastaja loomine toodab kõike rohkem ega osta midagi, mida töövoog juba ei pakkunud.

Kontrollige, et VPN-kontrollijad ehitavad ahela nii, nagu te ootate. Vahesertifikaadi saatmine ahela ehitamiseks ja selle otseselt usaldatud ankruks paigaldamine on erinevad lahendused.

pathLen null ei tähenda seda, mida te arvate

RFC 5280 jaotis 4.2.1.9 määratleb põhipiirangud ja selle tee pikkuse väli piirab, kui palju mitte-endale väljastatud vahesertifikaate võib kehtivas teekonnas järgneda. Väärtus null piirab edasist vahesügavust; see ei piira lõppolemi sertifikaatide arvu. Inimesed loevad seda kui null lubatud sertifikaati ja imestavad siis, miks väljastamine ikka töötab. Lugege välja sügavuspiiranguna CA-de jaoks ja käitumine muutub ennustatavaks.

Sama jaotis vihjab, et usaldusankur on tee valideerimise sisend, mitte tee sees tavaline sertifikaat. Seetõttu ei eemalda iseallkirjastatud juure tühistamiskande avaldamine seda usaldusväärselt igast hoidlast.

Töölt lahkumine ei ole võtme kompromiteerimine

Kui lahkuval töötajal oli ainult isiklik halduskonto, tühistage see juurdepääs ja selle sessioonid toetatud identiteediprotsessi kaudu ning vaadake seejärel üle tegevus ja kinnitused, mille see tekitas. Varem väljastatud kliendisertifikaadid ei muutu kehtetuks seetõttu, et nende kinnitaja lahkus, ja nende kompromiteerituks pidamine loob suure, tarbetu uuesti registreerimise. Konto keelamine ei saa ka kopeeritud allkirjastamisvõtit kehtetuks muuta, seega sõltub vastus sellest, milline võime oli käes.

Kui vahesertifikaat on kompromiteeritud, tuleb selle autoriseerimine tühistada ja iga identiteet, mille eest see vastutas, asendada, järgides poliitikat, mida kontrollija rakendab. Juure usaldus vajab omaette vastust, sest ankur elab usaldushoidlates, mida te ei pruugi kontrollida.

Nõustuge disainiga nelja konkreetse juhtumi põhjal: sobiv seade registreerub, kinnitamata taotlus lükatakse tagasi, eemaldatud operaator ei saa enam väljastada ja pensionile saadetud väljastaja ei anna enam juurdepääsu. Need neli tulemust on runbook.