Delegasikan penerbitan sertifikat VPN tanpa kunci root

Memberi seseorang kemampuan untuk mendaftarkan klien VPN dan memberinya salinan portabel kunci root adalah dua tindakan berbeda, dan perbedaannya baru terlihat ketika orang itu pergi atau kunci itu bocor. Yang pertama memberikan operasi di dalam alur kerja yang Anda kendalikan; yang kedua memberikan kemampuan menciptakan kepercayaan di mana saja, luring, tanpa batas waktu. Putuskan mana yang dibutuhkan pekerjaan sebelum menyentuh materi kunci apa pun. Diagram hierarki tidak akan menjawab pertanyaan itu untuk Anda.

Tuliskan pekerjaan pendaftaran sebagai tiga pertanyaan: siapa yang boleh meminta, siapa yang menyetujui, dan apa yang boleh ditandatangani oleh komponen penerbit.

Putuskan kemampuan mana yang Anda berikan

Layanan penerbit dapat menampilkan alur persetujuan sambil menyimpan materi penandatanganan pada pemilik terpisah. Operator menyetujui permintaan perangkat, layanan menerapkan kebijakan dan mencatat penerbitan, dan tidak ada yang terlibat memegang kunci CA. Dokumentasikan identitas yang diizinkan, para penyetuju, dan cakupan apa yang boleh ditandatangani layanan; lalu lindungi administrasinya sebaik kunci. Permintaan penandatanganan sertifikat adalah permintaan, bukan keputusan otorisasi.

Penyimpanan berbasis perangkat keras mengubah risiko penyalinan kunci, bukan kebutuhan akan otorisasi. Tidak dapat diekspor berarti kunci tidak dapat dikeluarkan, dan itu tidak berarti siapa pun yang dapat memanggil antarmuka penandatanganan berhak atas sertifikat. Nilai kedua sifat itu secara terpisah.

Sertifikat perantara membatasi kewenangan

Root dapat mensertifikasi perantara untuk penerbitan sehari-hari, sehingga pekerjaan rutin tidak lagi menyentuh kunci root, selama prosedur penandatanganan dan pemulihan milik root sendiri tetap terlindungi. Itu batas nyata dan tidak gratis: sertifikat lain, kunci lain, pembaruan lain, dan daftar pencabutan lain untuk dipelihara. Gunakan satu bila mewakili batas manajemen atau risiko yang disengaja. Membuat penerbit per administrator menghasilkan lebih banyak dari semuanya dan tidak membeli apa pun yang belum disediakan alur kerja.

Periksa bahwa pemverifikasi VPN membangun rantai seperti yang Anda harapkan. Mengirim perantara untuk pembangunan rantai dan memasangnya sebagai jangkar yang dipercaya langsung adalah dua penataan berbeda.

pathLen nol tidak berarti yang Anda pikirkan

RFC 5280 bagian 4.2.1.9 mendefinisikan batasan dasar, dan bidang panjang jalurnya membatasi berapa banyak sertifikat perantara yang tidak diterbitkan sendiri dapat mengikuti dalam jalur yang valid. Nilai nol membatasi kedalaman perantara lebih lanjut; itu tidak membatasi jumlah sertifikat entitas akhir. Orang membacanya sebagai nol sertifikat yang diizinkan lalu bertanya-tanya mengapa penerbitan masih berfungsi. Baca bidang itu sebagai batas kedalaman pada CA, dan perilakunya menjadi dapat diprediksi.

Bagian yang sama menyiratkan bahwa jangkar kepercayaan adalah masukan bagi validasi jalur, bukan sertifikat biasa di dalam jalur. Itulah sebabnya menerbitkan entri pencabutan untuk root yang ditandatangani sendiri tidak menghapusnya secara andal dari setiap penyimpanan.

Offboarding bukan kompromi kunci

Ketika yang keluar hanya memegang akun manajemen pribadi, cabut akses itu dan sesinya melalui proses identitas yang didukung, lalu tinjau aktivitas dan persetujuan yang dihasilkannya. Sertifikat klien yang diterbitkan sebelumnya tidak menjadi tidak valid karena penyetujunya pergi, dan memperlakukannya sebagai kompromi menciptakan pendaftaran ulang yang besar dan tidak perlu. Menonaktifkan akun juga tidak dapat membatalkan kunci penandatanganan yang disalin, jadi responsnya bergantung pada kemampuan mana yang dipegang.

Ketika perantara dikompromikan, otorisasinya harus dicabut dan setiap identitas yang dijaminkannya harus diganti, mengikuti kebijakan apa pun yang ditegakkan pemverifikasi. Kepercayaan root memerlukan responsnya sendiri, karena jangkar itu hidup di penyimpanan kepercayaan yang mungkin tidak Anda kendalikan.

Terima desainnya dengan empat kasus konkret: perangkat yang memenuhi syarat mendaftar, permintaan yang tidak disetujui ditolak, operator yang telah dihapus tidak dapat lagi menerbitkan, dan penerbit yang sudah pensiun tidak lagi memberikan akses. Keempat hasil itu adalah runbook.