VPN-tanúsítványok kiadásának delegálása a gyökérkulcs nélkül

Valakinek megadni a VPN-ügyfelek regisztrálásának képességét, és átadni neki a gyökérkulcs hordozható másolatát két különböző cselekedet, és a különbség csak akkor válik láthatóvá, amikor az a személy távozik, vagy az a kulcs kiszivárog. Az első egy műveletet ad egy általad ellenőrzött munkafolyamaton belül; a második azt a képességet adja, hogy bárhol, offline, korlátlan ideig bizalmat teremtsen. Döntsd el, melyikre van szüksége a munkának, mielőtt bármilyen kulcsanyaghoz nyúlsz. Egy hierarchiaábra nem fogja megválaszolni ezt a kérdést helyetted.

Írd le a regisztrációs munkát három kérdésként: ki kérhet, ki hagyja jóvá, és mit írhat alá a kiadó komponens.

Döntsd el, milyen képességet adsz

Egy kiadó szolgáltatás jóváhagyási munkafolyamatot tehet közzé, miközben az aláíró anyagot külön tulajdonosnál tartja. Egy operátor jóváhagy egy eszközkérést, a szolgáltatás alkalmazza a szabályzatot és rögzíti a kiadást, és az érintettek közül senki sem birtokolja a CA-kulcsot. Dokumentáld az engedélyezett identitásokat, a jóváhagyókat és azt a tartományt, amit a szolgáltatás aláírhat; majd védd a felüyeletét ugyanolyan gondosan, mint a kulcsot. A tanúsítvány-aláírási kérés kérés, nem engedélyezési döntés.

A hardverrel támogatott tárolás megváltoztatja a kulcs másolásának kockázatát, nem az engedélyezés szükségességét. A nem exportálható azt jelenti, hogy a kulcsot nem lehet kiemelni, és nem jelenti azt, hogy bárki, aki hívni tudja az aláíró felületet, jogosult tanúsítványra. Ezt a két tulajdonságot külön értékeld.

A köztes tanúsítvány korlátozza a jogosultságot

A gyökér tanúsíthat egy köztes tanúsítványt a napi kiadáshoz, így a rutinmunka már nem érinti a gyökérkulcsot, amíg a gyökér saját aláírási és helyreállítási eljárásai védettek maradnak. Ez valódi határ, és nem ingyenes: még egy tanúsítvány, még egy kulcs, még egy megújítás és még egy visszavonási lista fenntartásra. Akkor használd, amikor szándékos felüyeleti vagy kockázati határt képvisel. Minden adminisztrátorhoz kiadót létrehozni mindenből többet termel, és semmit sem vásárol, amit a munkafolyamat már nem nyújtott.

Ellenőrizd, hogy a VPN-ellenőrzők úgy építik a láncot, ahogy elvárod. A köztes tanúsítvány láncépítéshez való szállítása és közvetlenül megbízható horgonyként való telepítése különböző elrendezések.

A pathLen nulla nem azt jelenti, amit gondolsz

Az RFC 5280 4.2.1.9 szakasza határozza meg az alapvető korlátozásokat, és annak úthossz-mezője korlátozza, hány nem önmagának kiadott köztes tanúsítvány követhet egy érvényes útvonalon. A nulla érték a további köztes mélységet korlátozza; nem korlátozza a végponti entitás tanúsítványainak számát. Az emberek nullaként olvassák, azaz nulla engedélyezett tanúsítvány, és aztán csodálkoznak, miért működik még a kiadás. Olvasd a mezőt a CA-k mélységi korlátjaként, és a viselkedés kiszámíthatóvá válik.

Ugyanez a szakasz azt sugallja, hogy a bizalmi horgony az útvonal-érvényesítés bemenete, nem pedig egy hétköznapi tanúsítvány az útvonalon belül. Ezért egy önaláírt gyökér visszavonási bejegyzésének közzététele nem távolítja el megbízhatóan minden tárolóból.

A kilépés nem kulcskompromittálás

Ahol a távozó csak személyes felüyeleti fiókkal rendelkezett, vonjátok vissza azt a hozzáférést és munkameneteit a támogatott identitásfolyamaton keresztül, majd vizsgáljátok át az általa létrehozott tevékenységet és jóváhagyásokat. A korábban kiadott ügyféltanúsítványok nem válnak érvénytelené attól, hogy a jóváhagyójuk távozott, és kompromittáltként kezelésük nagy, szükségtelen újraregisztrálást okoz. Egy fiók letiltása sem tudja érvényteleníteni a másolt aláírókulcsot, ezért a válasz attól függ, melyik képesség volt birtokban.

Amikor egy köztes tanúsítvány kompromittálódik, vissza kell vonni a jogosultságát, és minden identitást le kell cserélni, amelyért kezességet vállalt, az ellenőrző által érvényesített szabályzat szerint. A gyökér bizalma saját választ igényel, mert a horgony olyan bizalmi tárolókban él, amelyeket lehet, hogy nem ellenőriztek.

Fogadd el a tervet négy konkrét esettel: egy jogosult eszköz regisztrál, egy nem jóváhagyott kérés elutasításra kerül, egy eltávolított operátor már nem tud kiadni, és egy nyugdíjazott kiadó már nem ad hozzáférést. Ez a négy eredmény a runbook.