Միայն CSR-ը գրանցում չէ. ինչ պետք է ստուգի VPN-ի CA-ն

Վկայագրի ստորագրման հարցումը պարունակում է հանրային բանալի և պահանջվող սուբյեկտ, որը ստորագրված է համապատասխան մասնավոր բանալիով։ Այդ ստորագրությունն ապացուցում է, որ հայտատուն ունի բանալին։ Այն չի ապացուցում, որ հայտատուն իրավունք ունի պահանջվող անվանը, սարքին կամ VPN-ի դերին, և հարցմանը վերաբերվելը այնպես, կարծես այն դա ապացուցում է, հենց այն ձևն է, որով օգնության սեղանի տոմսը դառնում է հասանելիության տրամադրում։

Արժե համեմատել գրանցման երկու մոդել ըստ այն բանի, թե ինչ են նրանք կապում, և ոչ ըստ այն բանի, թե ինչ արձանագրությամբ են խոսում։

Հարցումը հայտարարում է անուն, այն չի ապացուցում այն

Կարդացեք հարցումը ըստ այն բանի, թե ինչ կա իրականում դրա մեջ՝ հանրային բանալի, հայտատուի ընտրած սուբյեկտ և ինքնաստորագրություն երկուսի վրա։ Այդ կառուցվածքում ոչինչ չի հղում ձեր գույքագրմանը, հաշիվների գրացուցակին կամ հաստատման հոսքին։ cn=finance-laptop-ի նման սուբյեկտը տող է, որը ինչ-որ մեկը մուտքագրել է։ Քանի դեռ թողարկման գործընթացը չի ստուգում այդ տողը վստահելի գրառման դեմ, վկայագիրը ստորագրությամբ կցված պնդում է։ Այդ տարբերությունը գրանցման գործընթացի գոյության ամբողջ պատճառն է։

Հետևանքը գործառնական նշանակություն ունի։ Վկայագրերի մարմինը երբեք պարտքի մասնավոր բանալին չի պահանջում վկայագիր թողարկելու համար, և հոսքը, որը պահանջում է այն, շփոթել է ստորագրումը բանալիների պահպանման հետ։ Թողեք գեներացումը վերջնակետում և ուղարկեք միայն հանրային կեսը։

Համեմատեք մոդելները ըստ այն բանի, թե ինչ են նրանք կապում

Ձեռքով ստորագրումը կապում է այն, ինչ օպերատորը հիշում է ստուգել։ Ավտոմատացված գրանցման ծառայությունը կապում է նույնականացված հարցումը որոշման հետ, որը ծառայությունը կարող է պարտադրել, և RFC 7030-ը նկարագրում է այդպիսի մեկ նախագիծ, որտեղ հաճախորդը նույնականացվում է նախքան վկայագրի վերադարձը։ Աուդիտին դիմացող տարբերությունը ավտոմատացումը չէ. այն է, թե ինքնության ստուգումը տեղի է ունենում թողարկման ուղու ներսում, թե կողքին։

Երկու մոդելներն էլ դեռ պետք է պատասխանեն նույն երեք հարցերին։ Ով է հարցնում, որ սարքում կամ դերում, և ինչքան ժամանակով։ Տոմսերի համակարգը, որը գրանցում է պատասխանները, իրական աշխատանք է կատարում. հերթը, որտեղ ինչ-որ մեկը նայում է ընդհանուր անվանը, չի կատարում, ինչքան էլ ուշադիր ձևավորվի վկայագիրը հետո։

Ընտրեք մոդելը ըստ սպասվող գրանցումների քանակի և սարքերի շրջանառության։ Տարեկան մի քանի սերվեր կարող են դիմանալ ձեռքով վերանայմանը գրավոր ստուգաթերթով։ Նոթբուքների պարկը չի կարող։

Արձանագրեք կենսացիկլը առաջին թողարկումից

Պահեք վկայագրի նույնացուցիչը, սեփականատիրոջը, նախատեսված օգտագործումը, ժամկետը և հեռացման ուղին թողարկման պահին, ոչ թե առաջին միջադեպի ժամանակ։ Նախատեսված օգտագործումը պետք է լինի հենց վկայագրում ընդլայնված բանալու օգտագործման միջոցով, և գրառումը պետք է համապատասխանի դրան։ Հաճախորդի նույնականացման համար ստեղծված վկայագիրը չպետք է անտարբերելի լինի սերվերի համար նախատեսվածից։

Պլանավորեք նորացումը և կորած սարքի չեղարկումը նախքան տասներորդ պրոֆիլը թողարկելը։ Բաժնով կիսված վկայագիրը նպատակային հեռացումը դարձնում է ընդհատում, և այդ որոշումը հիմա վերանայելը շատ ավելի էժան է, քան ուրբաթ օրվա միջադեպի ժամանակ։

Ստուգեք թողարկված վկայագիրը, ապա հասանելիությունը

Գրանցումից հետո ստուգեք, թե ինչ է թողարկվել, և հաստատեք, որ այն շղթայվում է սպասվող մարմնին։ Երկու հրաման ծածկում են սովորական սխալները՝ սխալ օգտագործմամբ վկայագիր և շղթա, որն աշխատում է միայն այն պատճառով, որ հաճախորդը կարգավորված է անտեսել վավերացումը։

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Ապա փորձարկեք հասանելիությունը, ոչ թե արտեֆակտը։ Վկայագիրը սահմանում է ինքնություն, և քաղաքականությունը դեռ որոշում է, թե որ ծառայություններին կարող է հասնել այդ ինքնությունը։ Ստուգեք երկուսն էլ, քանի որ ճիշտ արտեֆակտը չափից շատ լայն քաղաքականությամբ նույնպես ձախողում է վերանայումը։ Հաստատեք, որ հաճախորդը նույնականացվում է և ստանում է միայն նախատեսված ուղիները կամ ռեսուրսները։ Գրանցեք այն, ինչ դիտել եք, ոչ թե այն, ինչ պրոֆիլը պետք է աներ։

Պրոֆիլը, որն աշխատում է սխալ պատճառով, օրինակ համընկնող ընդհանուր անուն և ինքնության ստուգում չունենալը, կշարունակի աշխատել այն բանից հետո, երբ հեռացվի այն վերահսկողությունը, որը դուք կարծում էիք, թե ունեք։