תעודה לאתר שנגיש רק דרך VPN: DNS-01 או CA פרטי?

שלושה תנאים קובעים כיצד אתר שנגיש רק דרך VPN צריך לקבל את התעודה שלו: אם אתם שולטים באזור DNS ציבורי, אם שם המארח רשאי להופיע ביומנים ציבוריים, ואם אפשר לתת לכל לקוח עוגן אמון פרטי. המסלול הציבורי והמסלול הפרטי שניהם מייצרים מנעול שעובד והם עונים על שאלות שונות. בחירה באחד מהם בלי להכריע בתנאים האלה היא הדרך שבה אתר מגיע לתעודה ציבורית שלא רצה, או לפנימית שחצי מהלקוחות דוחים.

התעודה מוכיחה את השם; ה-VPN וה-DNS הפנימי מספקים את הנתיב.

שני מסלולים לשם מהימן

מנפיק ציבורי עם אימות DNS-01 מוכיח שליטה בשם באמצעות רשומת TXT באזור שאתם שולטים בו, כך ששירות האינטרנט לעולם לא צריך לקבל חיבור HTTP ציבורי. CA פרטי מנפיק תעודות עלה לשמות פנימיים ומפיץ את עוגן האמון שלו דרך ניהול התקנים, כך שאף יומן ציבורי לא לומד את השם. שניהם לגיטימיים, והבחירה נובעת משלושת התנאים האלה ולא מנוחות. אף אחד מהמסלולים לא מספק את הנתיב או את רשומת הפותר שהלקוח צריך.

תעודה ציבורית גם מפרסמת את שם המארח ביומני שקיפות תעודות. אם השם עצמו רגיש, הגילוי הזה הוא החלטת תכנון ולא תופעת לוואי שתתגלה מאוחר יותר.

DNS-01 בלי לחשוף את השירות

רשומת האתגר היא רשומת TXT תחת קידומת שמורה באזור, והמנפיק קורא אותה מ-DNS סמכותי. בחרו לקוח ACME ואינטגרציית DNS שיכולים ליצור ולמחוק את הרשומה הזו, והרשו את העדכון בצורה צרה: פרטי API מוגבלים לאזור, או מארח נשלט שמשמש רק לאימות. לתת לשרת האפליקציה פרטי רושם בלתי מוגבלים כדי לחדש תעודה אחת זה הרבה יותר סמכות ממה שהמשימה דורשת. כשיש כמה הזמנות שחולקות שם, שמרו את ערכי ה-TXT שלהן נפרדים כדי שניקוי של אחד לא יסיר ערך שאחר עדיין צריך.

המתינו להתפשטות עם בדיקה מול השרתים הסמכותיים במקום השהיה קבועה. התנהגות ההתפשטות תלויה בספק, והשהיה שעובדת היום אינה הוכחה לגבי מחר.

לקוחות מנוהלים ושמות פרטיים במכוון

התקנים מנוהלים ושמות פרטיים במכוון מתאימים היטב ל-CA פנימי. הפיצו את המנפיק המהימן דרך ניהול התקנים, ואז הנפיקו תעודות עלה לשמות המיועדים. בדקו איזה מאגר כל לקוח באמת משתמש בו, כי ייבוא אחד במערכת ההפעלה אינו טענה גורפת על כל דפדפן ויישום. נעיצת עלה היא אפשרות נוספת היכן שהיא נתמכת במפורש, במחיר של עדכון אמון נוסף בכל פעם שהעלה משתנה.

ערוץ ההפצה חשוב כמו המפתח: שורש שאיש לא מתקין לא מגן על דבר.

החידוש הוא חלק מהתכנון

בכל מסלול שתבחרו, החידוש צריך בעלים ונוהל. רענון הוכחת האימות, התקנת החומר החדש וטעינה מחדש של המאזין דרך המנגנון הנתמך שלו הם שלושה שלבים נפרדים, ורק את הראשון מרבית לקוחות ACME מאוטמטים. תעודה שמתחדשת כראוי אבל לעולם לא נטענת גורמת לאותה הפסקה כמו תעודה שפגה.

התעודה לא מתקינה את נתיב ה-VPN ולא יוצרת את רשומת ה-DNS הפנימית. הלקוחות עדיין צריכים פותר שממפה את השם לכתובת הפרטית ונתיב כדי להגיע אליו. בדקו את האתר לפי שם מלקוח שיש לו את שניהם.

רשמו את המנפיק, את שיטת האימות, את ערוץ הפצת האמון ואת מנגנון הטעינה מחדש. הארבעה האלה הם תוכנית החידוש.