CSR soil bat ez da erregistroa: zer egiaztatu behar du VPN CA batek

Ziurtagiri-sinatze eskaera batek gako publiko bat eta eskatutako subjektu bat daramatza, dagokion gako pribatuarekin sinatuta. Sinadura horrek frogatzen du eskatzaileak gakoa duela. Ez du frogatzen eskatzaileak eskatu duen izenaren, gailuaren edo VPN rolaren eskubidea duenik, eta hala frogatuko balu bezala tratatzeak egiten du laguntza-mahaiko tiket bat sarbide-emate bihurtu.

Bi erregistro-eredu alderatzea merezi du, zer lotzen duten kontuan hartuta, ez zer protokolo hitz egiten duten.

Eskaera batek izen bat adierazten du, ez du frogatzen

Irakurri eskaera benetan daukana: gako publiko bat, eskatzaileak aukeratutako subjektu bat eta bi gaineko auto-sinadura bat. Egitura horretan ez dago ezer zure inbentarioari, kontu-direktorioari edo onespen-fluxuari erreferentzia egiten dionik. cn=finance-laptop bezalako subjektua norbaitiek idatzitako kate bat da. Igortze-prozesuak kate hori fidatzen duen erregistro baten aurka egiaztatu arte, ziurtagiria sinadura erantsia duen adierazpen bat da. Bereizketa hori da erregistro-prozesu bat egotearen arrazoi osoa.

Ondorioak garrantzi operatiboa du. Ziurtagiri-agintaritzak ez du inoiz bezeroaren gako pribatua behar ziurtagiri bat igortzeko, eta gako bat eskatzen duen fluxuak sinatzea gakoen zaintzarekin nahastu du. Eutsi sorkuntza muturrean eta bidali erdi publikoa soilik.

Konparatu ereduak zer lotzen duten

Esko hutseko sinadurak operadoreak egiaztatzeko gogoratzen duena lotzen du. Erregistro-zerbitzu automatizatuek autentifikatutako eskaera bat zerbitzuak betearaz dezakeen erabaki batekin lotzen dute, eta RFC 7030 halako diseinu bat deskribatzen du, non bezeroa autentifikatu egiten den ziurtagiria itzuli aurretik. Auditoria bat gainditzen duen aldea ez da automatizazioa; baizik eta identitate-egiaztapena igortze-bidearen barruan edo alboan gertatzen den.

Bi ereduek hiru galdera berberei erantzun behar diete oraindik. Nork eskatzen du, zein gailutan edo rolatan, eta zenbat denborarako. Erantzunak erregistratzen dituen tiket-sistema batek benetako lana egiten du; norbait izen arrunt bati begira dagoen ilara batek ez, gero ziurtagiria zein arretaz formatatzen den ere.

Aukeratu eredua espero dituzun erregistro-kopuruaren eta gailuen txandakatzearen arabera. Urtean zerbitzari gutxi batzuek eskuzko berrikuspena gaindi dezakete idatzizko zerrenda batekin. Ordenagailu eramangarrien flota batek ezin du.

Erregistratu bizitza-zikloa lehen igorpenetik

Gorde ziurtagiriaren identifikatzailea, jabea, aurreikusitako erabilera, iraungitzea eta kentzeko bidea igorpenaren unean, ez lehen gorabeheren unean. Aurreikusitako erabilera ziurtagiriaren beraren barruan dago gako-erabilera hedatuaren bidez, eta erregistroak harekin bat etorri behar du. Bezeroen autentifikaziorako sortutako ziurtagiria ez litzateke bereizezina izan behar zerbitzari baterako batetik.

Aurreikusi berritzea eta galdutako gailuaren ezeztatzea hamargarren profila igorri aurretik. Sail batean partekatutako ziurtagiri batek kentze zehatz bat etena bihurtzen du, eta erabaki hori orain berrikustea askoz merkeagoa da ostiraleko gorabehera baten erdian baino.

Egiaztatu igorritako ziurtagiria, eta gero sarbidea

Erregistroaren ondoren, aztertu zer igorri zen eta berretsi espero duzun autoritatera kateatzen dela. Bi komandok estaltzen dituzte ohiko akatsak: erabilera okerreko ziurtagiria, eta baliozkotzea alde batera uzteko konfiguratuta dagoelako soilik funtzionatzen duen katea.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Ondoren probatu sarbidea, artefaktua ez. Ziurtagiriak identitatea ezartzen du, eta politikak oraindik erabakitzen du zein zerbitzutara irits daitekeen identitate hori. Egiaztatu biak, zuzena den artefaktu batek politika zabalegia duelako ere huts egiten baitu berrikuspen batean. Berretsi bezeroa autentifikatzen dela eta aurreikusitako ibilbideak edo baliabideak soilik jasotzen dituela. Idatzi behatu duzuna, ez profilak egin behar zuena.

Arrazoi okeragatik funtzionatzen duen profil batek, hala nola izen arrunt bat bat etortzea eta identitate-egiaztapenik ez egotea, funtzionatzen jarraituko du uste zenuen kontrola kendu ondoren.