Delegoi VPN-varmenteiden myöntäminen ilman juuriavainta

Sen antaminen jollekin, että hän voi rekisteröidä VPN-asiakkaita, ja siirrettävän kopion antaminen juuriavaimesta ovat kaksi eri tekoa, ja ero tulee näkyväksi vasta kun kyseinen henkilö lähtee tai avain vuotaa. Ensimmäinen antaa toiminnon teidän hallitsemassanne työnkulussa; toinen antaa kyvyn luoda luottamusta missä tahansa, offline-tilassa, määräämättömäksi ajaksi. Päättäkää, kumpaa työ tarvitsee, ennen kuin koskette mitään avainmateriaalia. Hierarkiapiirros ei vastaa siihen kysymykseen puolestanne.

Kirjoittakaa rekisteröintityö kolmeksi kysymykseksi: kuka saa pyytää, kuka hyväksyy ja mitä myöntävä komponentti saa allekirjoittaa.

Päättäkä, minkä kyvyn annatte

Myöntävä palvelu voi tarjota hyväksyntätyönkulun ja pitää allekirjoitusmateriaalin silti erillisellä omistajalla. Operaattori hyväksyy laitepyynnön, palvelu soveltaa käytäntöä ja kirjaa myönnön, eikä kukaan osallinen pidä CA-avainta. Dokumentoikaa sallitut identiteetit, hyväksyjät ja se, mitä palvelu saa allekirjoittaa; suojatkaa sitten sen hallintaa yhtä huolellisesti kuin avainta. Varmenteen allekirjoituspyyntö on pyyntö, ei valtuutuspäätös.

Laitteistopohjainen tallennus muuttaa avaimen kopioimisen riskiä, ei valtuutuksen tarvetta. Ei-vietävä tarkoittaa, että avainta ei voi nostaa ulos, eikä se tarkoita, että jokaisella, joka voi kutsua allekirjoitusrajapintaa, on oikeus varmenteeseen. Arvioikaa nämä kaksi ominaisuutta erikseen.

Välivarmenne rajaa valtuutta

Juurivarmenne voi varmentaa välivarmenteen päivittäistä myöntöä varten, jolloin rutiinityö ei enää kosketa juuriavainta, kunhan juuren omat allekirjoitus- ja palautusmenettelyt pysyvät suojattuina. Se on todellinen raja, eikä se ole ilmainen: vielä yksi varmenne, vielä yksi avain, vielä yksi uusiminen ja vielä yksi peruutusluettelo ylläpidettäväksi. Käyttäkää sitä, kun se edustaa tarkoituksellista hallinta- tai riskirajaa. Myöntäjän luominen jokaista ylläpitäjää varten tuottaa kaikkea enemmän eikä osta mitään, mitä työnkulku ei jo tarjonnut.

Tarkistakaa, että VPN-tarkistajat rakentavat ketjun odottamallanne tavalla. Välivarmenteen toimittaminen ketjun rakentamiseen ja sen asentaminen suoraan luotetuksi ankkuriksi ovat eri järjestelyjä.

pathLen nolla ei tarkoita sitä, mitä luulette

RFC 5280 jakso 4.2.1.9 määrittelee perusrajoitukset, ja sen polun pituuden kenttä rajoittaa, kuinka monta muun kuin itsensä myöntämää välivarmennetta voi seurata kelvollisessa polussa. Arvo nolla rajoittaa lisävälisyvyyttä; se ei rajoita loppuentityjen varmenteiden määrää. Ihmiset lukevat sen nollana sallittuna varmenteena ja ihmettelevät sitten, miksi myöntäminen yhä toimii. Lukekaa kenttä syvyysrajoituksena CA:ille, ja käyttäytymisestä tulee ennustettavaa.

Sama jakso antaa ymmärtää, että luottamusankkuri on polun validoinnin syöte eikä tavallinen varmenne polun sisällä. Siksi itseallekirjoitetun juuren peruutusmerkinnän julkaiseminen ei poista sitä luotettavasti jokaisesta säilöstä.

Työstä lähteminen ei ole avaimen tietomurto

Kun lähtijällä ei ollut muuta kuin henkilökohtainen hallintatili, peruuttakaa kyseinen käyttöoikeus ja sen istunnot tuetun identiteettiprosessin kautta ja käykää sitten läpi toiminta ja hyväksynnät, jotka se tuotti. Aiemmin myönnetyt asiakasvarmenteet eivät tule mitättömiksi siksi, että niiden hyväksyjä lähti, ja niiden kohteleminen murrettuina luo suuren, tarpeettoman uudelleenrekisteröinnin. Tilin poistaminen käytöstä ei sekään voi mitätöidä kopioitua allekirjoitusavainta, joten vastaus riippuu siitä, mikä kyky oli hallussa.

Kun välivarmenne murretaan, sen valtuutus on peruutettava ja jokainen identiteetti, jonka puolesta se takasi, korvattava sen käytännön mukaisesti, jota tarkistaja valvoo. Juuren luottamus tarvitsee oman vastauksensa, koska ankkuri elää luottamussäilöissä, joita ette ehkä hallitse.

Hyväksykää suunnittelu neljällä konkreettisella tapauksella: kelvollinen laite rekisteröityy, hyväksymätön pyyntö hylätään, poistettu operaattori ei voi enää myöntää ja eläkkeelle siirretty myöntäjä ei enää myönnä pääsyä. Ne neljä tulosta ovat runbook.