واگذاری صدور گواهی‌های VPN بدون کلید ریشه
صدور گواهی یک اجازه است؛ داشتن کلید ریشه یک توانایی است. یک میانی اولی را محدود می‌کند، و حذف یک حساب، نفوذ نیست.
دادن توانایی ثبت مشتریان VPN به کسی و دادن یک نسخه قابل حمل از کلید ریشه به او، دو اقدام متفاوت است، و تفاوت تنها زمانی آشکار می‌شود که آن شخص برود یا آن کلید نشت کند. اولی یک عملیات درون گردش‌کاری که شما کنترل می‌کنید می‌دهد؛ دومی توانایی ساختن اعتماد در هر جا، بدون اتصال و برای همیشه را می‌دهد. پیش از دست زدن به هر ماده کلیدی تصمیم بگیرید کار به کدام نیاز دارد. یک نمودار سلسله‌مراتبی به این پرسش برای شما پاسخ نمی‌دهد.
کار ثبت را به شکل سه پرسش بنویسید: چه کسی می‌تواند درخواست دهد، چه کسی تأیید می‌کند، و مؤلفه صادرکننده اجازه امضای چه چیزی را دارد.
تصمیم بگیرید چه توانایی می‌دهید
یک سرویس صادرکننده می‌تواند گردش‌کار تأیید را ارائه کند و در همان حال ماده امضا را نزد مالکی جدا نگه دارد. یک اپراتور درخواست دستگاهی را تأیید می‌کند، سرویس سیاست را اعمال و صدور را ثبت می‌کند، و هیچ‌یک از افراد درگیر کلید CA را ندارد. هویت‌های مجاز، تأییدکنندگان و دامنه آنچه سرویس می‌تواند امضا کند را مستند کنید؛ سپس مدیریت آن را به همان دقت کلید محافظت کنید. درخواست امضای گواهی یک درخواست است، نه تصمیم مجوزدهی.
ذخیره‌سازی با پشتیبانی سخت‌افزار خطر کپی شدن کلید را تغییر می‌دهد، نه نیاز به مجوزدهی را. غیرقابل‌صدور بودن یعنی کلید را نمی‌توان بیرون کشید، و به این معنا نیست که هر کس بتواند رابط امضا را فراخوانی کند مستحق گواهی است. این دو ویژگی را جداگانه ارزیابی کنید.
یک میانی اختیار را محدود می‌کند
ریشه می‌تواند برای صدور روزمره یک میانی را تأیید کند، تا کار روزمره دیگر به کلید ریشه دست نزند، تا زمانی که رویه‌های امضا و بازیابی خود ریشه محافظت‌شده بمانند. این یک مرز واقعی است و رایگان نیست: گواهی دیگر، کلید دیگر، تمدید دیگر و فهرست ابطال دیگری برای نگهداری. وقتی مرز مدیریتی یا ریسک عامدانه‌ای را نمایندگی می‌کند از آن استفاده کنید. ساختن یک صادرکننده برای هر مدیر، از همه چیز بیشتر تولید می‌کند و چیزی نمی‌خرد که گردش‌کار پیش‌تر فراهم نمی‌کرد.
بررسی کنید که تأییدکنندگان VPN زنجیره را همان‌گونه که انتظار دارید بسازند. فرستادن یک میانی برای ساخت زنجیره و نصب آن به‌عنوان لنگر مستقیماً مورد اعتماد، دو چیدمان متفاوت است.
pathLen صفر آن چیزی نیست که فکر می‌کنید
RFC 5280 بخش 4.2.1.9 محدودیت‌های پایه را تعریف می‌کند، و میدان طول مسیر آن محدود می‌کند چند گواهی میانی غیرخودصادر می‌توانند در یک مسیر معتبر بیایند. مقدار صفر عمق میانی بیشتر را محدود می‌کند؛ تعداد گواهی‌های موجودیت نهایی را محدود نمی‌کند. مردم آن را صفر گواهی مجاز می‌خوانند و سپس تعجب می‌کنند که چرا صدور هنوز کار می‌کند. میدان را به‌عنوان محدودیت عمق برای CAها بخوانید، و رفتار قابل پیش‌بینی می‌شود.
همان بخش دلالت می‌کند که لنگر اعتماد ورودی اعتبارسنجی مسیر است، نه گواهی معمولی درون مسیر. به همین دلیل انتشار یک رکورد ابطال برای ریشه خودامضا آن را به‌طور مطمئن از هر انبار حذف نمی‌کند.
ترک سازمان، نفوذ به کلید نیست
جایی که فرد خارج‌شونده چیز جز یک حساب مدیریتی شخصی نداشت، آن دسترسی و نشست‌هایش را از طریق فرآیند هویت پشتیبانی‌شده لغو کنید، سپس فعالیت و تأییدهایی که تولید کرده را بررسی کنید. گواهی‌های مشتری که پیش‌تر صادر شده‌اند به دلیل رفتن تأییدکننده‌شان باطل نمی‌شوند، و برخورد با آن‌ها به‌عنوان نفوذ، ثبت‌نام دوباره بزرگ و بی‌دلیلی می‌سازد. غیرفعال کردن حساب هم نمی‌تواند یک کلید امضای کپی‌شده را باطل کند، پس پاسخ به این بستگی دارد که کدام توانایی در اختیار بوده است.
وقتی یک میانی به‌نفوذ می‌رود، مجوز آن باید پس گرفته شود و هر هویتی که ضمانت کرده جایگزین شود، مطابق هر سیاستی که تأییدکننده اجرا می‌کند. اعتماد ریشه پاسخ خودش را می‌خواهد، چون لنگر در انبارهای اعتمادی زندگی می‌کند که ممکن است کنترل نکنید.
طراحی را با چهار مورد مشخص بپذیرید: یک دستگاه واجد شرایط ثبت‌نام می‌کند، یک درخواست تأییدنشده رد می‌شود، اپراتوری که حذف شده دیگر نمی‌تواند صادر کند، و صادرکننده‌ای که بازنشسته شده دیگر دسترسی نمی‌دهد. همان چهار نتیجه، رانبوک است.