In CSR allinnich is gjin registraasje: wat in VPN-CA kontrolearje moat

In oanfraach foar sertifikaathantekening befettet in iepenbiere kaai en in oanfrege subject, ûndertekene mei de byhearrende partikuliere kaai. Dy hantekening bewissiget dat de oanfreger de kaai hat. Se bewissiget net dat de oanfreger rjocht hat op 'e namme, it apparaat of de VPN-rol dy't oanfrege wurdt, en de oanfraach behannelje as soe se dat bewissigje, is krekt hoe't in helpdesk-ticket in tagongfergunning wurdt.

Twa registraasjemodellen binne de muoite wurdich te ferlykjen nei wat se bine, net nei hokker protokol se prate.

In oanfraach beweart in namme, se bewissiget him net

Lês de oanfraach foar wat der echt yn stiet: in iepenbiere kaai, in subject dy't de oanfreger keazen hat, en in sels-hantekening oer beide. Neat yn dy struktuer ferwiist nei jo ynventaris, jo akkountmap of jo goedkarringsproses. In subject as cn=finance-laptop is in tekenrige dy't immen typt hat. Oant it útjaanproses dy tekenrige kontrolearret tsjin in record dat it fertrout, is it sertifikaat in bewearing mei in hantekening deroan. Dat ûnderskie is de hiele reden dat in registraasjeproses bestiet.

It gefolch is operasjoneel wichtich. In sertifikaatautoriteit hat nea de partikuliere kaai fan 'e klant nedich om in sertifikaat út te jaan, en in proses dat der ien freget hat hantekening mei kaaiopslach ferwiksele. Hâld it generearjen op it einpunt en stjoer allinnich de iepenbiere helte.

Ferlykje de modellen nei wat se bine

Hânmjittich ûndertekenjen binelet wat de operator betinkt om te kontrolearjen. In automatisearre registraasjetsjinst bynt in autentisearre oanfraach oan in beslút dat de tsjinst hanthavenje kin, en RFC 7030 beskriuwt ien sa'n ûntwerp wêryn't de klant him autentisearret foardat in sertifikaat weromjûn wurdt. It ferskil dat in audit oerlibbet is gjin automatisearring; it is oft de identiteitskontrôle binnen it útjaanpaad of dêrnjonken bart.

Beide modellen moatte noch altyd deselde trije fragen beantwurdzje. Wa freget, op hokker apparaat of rol, en foar hoe lang. In ticketsysteem dat de antwurden fêstleit docht echt wurk; in rige wêryn't immen nei in gewoane namme stoarret docht dat net, hoe soarchfâldich it sertifikaat letter ek opmakke wurdt.

Kies it model nei it oantal registraasjes dat jo ferwachtsje en it ferloop fan apparaten. In hantsjefol servers jiers kin in hânmjittige kontrôle mei in skriftlike checklist oerlibje. In float laptops kin dat net.

Registrearje de libbenssyklus fan 'e earste útjefte ôf

Bewarje de sertifikaatidentifikaasje, de eigner, it bedoelde gebrûk, it ferrinnen en it paad foar fuortheljen op it momint fan útjaan, net by it earste ynsidint. It bedoelde gebrûk heart troch in útwreide kaaiberik yn it sertifikaat sels, en it record moat dêrmei oerienkomme. In sertifikaat dat foar klantautentikaasje makke is, moat net ûnderskiedber wêze fan ien foar in server.

Plan nijering en it ynlûken fan in ferlern apparaat foardat jo it tsiende profyl útjaan. In sertifikaat dat oer in ôfdieling dield wurdt, makket in rjochte fuortheljen ta in ûnderbrekking, en dat beslút is no folle goedkeaper te besjen as tidens in freedse ynsidint.

Kontrolearje it útjûne sertifikaat, dan de tagong

Kontrolearje nei de registraasje wat útjûn is en befêstigje dat it ketenet nei de autoriteit dy't jo ferwachtsje. Twa opdrachten dekke de gewoane flaters: in sertifikaat mei it ferkearde gebrûk, en in keten dy't allinnich wurket om't de klant ynsteld is om falidaasje te negearjen.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Test dan de tagong ynstee fan it artefakt. In sertifikaat fêstiget identiteit, en it belied beslút noch hokker tsjinsten dy identiteit berikke mei. Kontrolearje beide, want in korrekt artefakt mei in te breed belied slagget noch altyd net foar in kontrôle. Befêstigje dat de klant him autentisearret en allinnich de bedoelde rûtes of boarnen krijt. Notearje wat jo waarnomd hawwe, net wat it profyl dwaan moatten hie.

In profyl dat om 'e ferkearde reden wurket, lykas in oerienkommende gewoane namme en gjin identiteitskontrôle, sil trochwurkje neidat de kontrôle dy't jo tochten te hawwen fuorthelle is.