A CSR önmagában még nem regisztráció: mit kell ellenőriznie egy VPN CA-nak

A tanúsítvány-aláírási kérelem egy nyilvános kulcsot és egy kért subjectet tartalmaz, amelyet a hozzá tartozó privát kulccsal írtak alá. Ez az aláírás azt bizonyítja, hogy a kérelmező birtokolja a kulcsot. Nem bizonyítja, hogy a kérelmező jogosult a kért névre, eszközre vagy VPN-szerepre, és ha úgy kezeljük, mintha bizonyítaná, abból lesz a helpdesk-jegyből hozzáférési engedély.

Két regisztrációs modellt érdemes aszerint összevetni, mit kötnek, és nem aszerint, milyen protokollt beszélnek.

A kérelem nevet állít, de nem bizonyít

Olvassa a kérelmet az alapján, mi van valóban benne: egy nyilvános kulcs, a kérelmező által választott subject, és egy saját aláírás mindkettő fölött. Ebben a szerkezetben semmi nem hivatkozik a leltárára, a fiókkönyvtárára vagy a jóváhagyási folyamatára. Egy cn=finance-laptop típusú subject egy karakterlánc, amit valaki beírt. Amíg a kibocsátási folyamat ezt a karakterláncot egy megbízható rekordhoz nem ellenőrzi, a tanúsítvány aláírással ellátott állítás. Ez a különbség a teljes oka annak, hogy létezik regisztrációs folyamat.

A következmény operatívan számít. A tanúsítványhatóságnak soha nincs szüksége az ügyfél privát kulcsára a tanúsítvány kiállításához, és az a folyamat, amelyik kéri, összekeverte az aláírást a kulcsletétbe helyezéssel. Tartsa a generálást a végponton, és csak a nyilvános felét küldje.

Hasonlítsa össze a modelleket aszerint, mit kötnek

A kézi aláírás azt köti, amire az operátor emlékszik, hogy ellenőrizze. Az automatizált regisztrációs szolgáltatás egy hitelesített kérelmet olyan döntéshez köt, amelyet a szolgáltatás kikényszeríthet, és a RFC 7030 egy ilyen tervet ír le, ahol az ügyfél a tanúsítvány visszaadása előtt hitelesíti magát. Az auditot túlélő különbség nem az automatizálás; hanem hogy az identitásellenőrzés a kibocsátási útvonalon belül vagy mellette történik.

Mindkét modellnek továbbra is ugyanarra a három kérdésre kell válaszolnia. Ki kér, melyik eszközön vagy szerepben, és mennyi ideig. A jegyrendszer, amely rögzíti a válaszokat, valódi munkát végez; az a sor, ahol valaki egy közös nevet bámul, nem, akármilyen gondosan formázzák is később a tanúsítványt.

A modellt a várható regisztrációk száma és az eszközök cserélődése alapján válassza. Évente néhány szerver kibírja a kézi átvizsgálást írásos ellenőrzőlistával. Egy laptopflotta nem.

A kibocsátás pillanatától rögzítse az életciklust

A kibocsátás pillanatában tárolja a tanúsítvány azonosítóját, a tulajdonost, a tervezett használatot, a lejáratot és az eltávolítási útvonalat, nem az első incidensnél. A tervezett használatnak kiterjesztett kulcshasználat révén magában a tanúsítványban kell lennie, és a rekordnak ezzel egyeznie kell. Az ügyfélhitelesítésre készült tanúsítványnak nem szabad megkülönböztethetetlennek lennie egy szerverétől.

Tervezze meg a megújítást és az elveszett eszköz visszavonását, mielőtt kiadja a tizedik profilt. Egy részlegen át megosztott tanúsítvány célzott eltávolításból kiesést csinál, és ezt a döntést most sokkal olcsóbb felülvizsgálni, mint egy pénteki incidens közben.

Ellenőrizze a kiadott tanúsítványt, majd a hozzáférést

Regisztráció után, vizsgálja meg, mit adtak ki, és erősítse meg, hogy a várt hatósághoz láncolódik. Két parancs lefedi a gyakori hibákat: a rossz használatú tanúsítványt, és azt a láncot, amely csak azért működik, mert az ügyfél az érvényesítés figyelmen kívül hagyására van beállítva.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Ezután a hozzáférést tesztelje, ne az artefaktumot. A tanúsítvány identitást állít fel, és a szabályzat továbbra is eldönti, mely szolgáltatásokat érhet el ez az identitás. Ellenőrizze mindkettőt, mert egy helyes artefaktum túl széles szabályzattal szintén megbukik egy felülvizsgálaton. Erősítse meg, hogy az ügyfél hitelesít, és csak a tervezett útvonalakat vagy erőforrásokat kapja. Jegyezze fel, mit tapasztalt, ne azt, mit kellett volna a profilnak tennie.

Egy profil, amely rossz okból működik, például egyező közös név és semmilyen identitásellenőrzés, továbbra is működni fog, miután eltávolítják azt a kontrollt, amelyről azt hitte, hogy van.