मूल कुंजी के बिना VPN प्रमाणपत्र जारी करना सौंपें

किसी को VPN क्लाइंट नामांकित करने की क्षमता देना और उसे मूल कुंजी की पोर्टेबल प्रति देना दो अलग कार्य हैं, और अंतर तभी दिखता है जब वह व्यक्ति चला जाये या वह कुंजी लीक हो जाये। पहला आपके नियंत्रण वाले कार्यप्रवाह के भीतर एक संचालन देता है; दूसरा कहीं भी, ऑफ़लाइन, अनिश्चित काल तक भरोसा गढ़ने की क्षमता देता है। कोई भी कुंजी सामग्री छूने से पहले तय करें कि काम को कौन-सी चाहिए। एक पदानुक्रम आरेख आपके लिए उस प्रश्न का उत्तर नहीं देगा।

नामांकन कार्य को तीन प्रश्नों के रूप में लिखें: कौन अनुरोध कर सकता है, कौन स्वीकृति देता है, और जारी करने वाला घटक क्या हस्ताक्षर कर सकता है।

तय करें कि आप कौन-सी क्षमता दे रहे हैं

एक जारी करने वाली सेवा स्वीकृति कार्यप्रवाह दिखा सकती है और साथ ही हस्ताक्षर सामग्री किसी अलग स्वामी के पास रख सकती है। एक ऑपरेटर डिवाइस अनुरोध स्वीकृत करता है, सेवा नीति लागू करती है और जारी करने को दर्ज करती है, और शामिल कोई भी CA कुंजी नहीं रखता। अनुमत पहचान, स्वीकृतकर्ता और सेवा क्या हस्ताक्षर कर सकती है इसका दायरा प्रलेखित करें; फिर उसके प्रशासन को कुंजी जितनी ही सावधानी से सुरक्षित रखें। प्रमाणपत्र हस्ताक्षर अनुरोध एक अनुरोध है, प्राधिकरण का निर्णय नहीं।

हार्डवेयर-समर्थित भंडारण कुंजी की प्रतिलिपि बनने का जोखिम बदलता है, प्राधिकरण की आवश्यकता नहीं। निर्यात-अयोग्य का अर्थ है कि कुंजी बाहर नहीं निकाली जा सकती, और इसका अर्थ यह नहीं है कि जो भी हस्ताक्षर इंटरफ़ेस को कॉल कर सकता है उसे प्रमाणपत्र का हक है। इन दो गुणों का अलग-अलग मूल्यांकन करें।

इंटरमीडिएट अधिकार को सीमित करता है

एक मूल दैनिक जारी करने के लिए एक इंटरमीडिएट प्रमाणित कर सकता है, ताकि नियमित काम अब मूल कुंजी को न छुए, जब तक मूल की अपनी हस्ताक्षर और पुनर्प्राप्ति प्रक्रियाएँ सुरक्षित रहें। यह एक वास्तविक सीमा है और यह मुफ़्त नहीं है: एक और प्रमाणपत्र, एक और कुंजी, एक और नवीनीकरण और बनाए रखने के लिए एक और निरस्तीकरण सूची। इसका उपयोग तब करें जब यह जानबूझकर बनाई गई प्रबंधन या जोखिम सीमा को दर्शाता है। हर प्रशासक के लिए एक जारीकर्ता बनाना हर चीज़ का अधिक उत्पादन करता है और ऐसा कुछ नहीं खरीदता जो कार्यप्रवाह पहले से न देता हो।

जाँचें कि VPN सत्यापनकर्ता श्रृंखला को वैसे बनाते हैं जैसे आप अपेक्षा करते हैं। श्रृंखला निर्माण के लिए इंटरमीडिएट भेजना और उसे सीधे विश्वसनीय एंकर के रूप में स्थापित करना अलग-अलग व्यवस्थाएँ हैं।

pathLen शून्य का अर्थ वह नहीं है जो आप सोचते हैं

RFC 5280 अनुभाग 4.2.1.9 मूल अवरोधों को परिभाषित करता है, और इसका पथ-लंबाई क्षेत्र सीमित करता है कि एक वैध पथ में कितने गैर-स्व-जारी इंटरमीडिएट प्रमाणपत्र अनुसरण कर सकते हैं। शून्य मान और इंटरमीडिएट गहराई को सीमित करता है; यह अंतिम-इकाई प्रमाणपत्रों की संख्या को सीमित नहीं करता। लोग इसे शून्य प्रमाणपत्र अनुमत के रूप में पढ़ते हैं और फिर सोचते हैं कि जारी करना अब भी क्यों काम करता है। क्षेत्र को CA के लिए गहराई सीमा के रूप में पढ़ें, और व्यवहार पूर्वानुमेय हो जाता है।

वही अनुभाग संकेत देता है कि भरोसा एंकर पथ सत्यापन का इनपुट है, पथ के भीतर का साधारण प्रमाणपत्र नहीं। इसीलिए स्व-हस्ताक्षरित मूल के लिए निरस्तीकरण प्रविष्टि प्रकाशित करना उसे हर भंडार से विश्वसनीय रूप से नहीं हटाता।

ऑफ़बोर्डिंग कुंजी का समझौता नहीं है

जहाँ छोड़ने वाले के पास व्यक्तिगत प्रबंधन खाते के अलावा कुछ नहीं था, वहाँ उस पहुंच और उसके सत्रों को समर्थित पहचान प्रक्रिया से निरस्त करें, फिर उसने जो गतिविधि और स्वीकृतियाँ बनाईं उनकी समीक्षा करें। पहले जारी क्लाइंट प्रमाणपत्र इसलिए अमान्य नहीं होते कि उनका स्वीकृतकर्ता चला गया, और उन्हें समझौता मानना एक बड़ा, अनावश्यक पुनः नामांकन पैदा करता है। खाता अक्षम करना भी प्रतिलिपि की गई हस्ताक्षर कुंजी को अमान्य नहीं कर सकता, इसलिए प्रतिक्रिया इस पर निर्भर है कि कौन-सी क्षमता रखी गई थी।

जब कोई इंटरमीडिएट समझौते में आता है, तो उसका प्राधिकरण वापस लेना होगा और उसने जिन पहचानों की जमानत दी थी उन्हें बदलना होगा, सत्यापनकर्ता जो नीति लागू करता है उसका पालन करते हुए। मूल भरोसे को अपनी प्रतिक्रिया चाहिए, क्योंकि एंकर ऐसे भरोसा भंडारों में रहता है जिन्हें आप नियंत्रित न कर सकें।

चार ठोस मामलों के साथ डिज़ाइन स्वीकार करें: एक योग्य डिवाइस नामांकित होता है, एक अस्वीकृत अनुरोध अस्वीकार किया जाता है, हटाया गया ऑपरेटर अब जारी नहीं कर सकता, और सेवानिवृत जारीकर्ता अब पहुंच नहीं देता। वे चार परिणाम ही रनबुक हैं।