Eitt og sér er CSR ekki skráning: hvað VPN-CA verður að athuga

Beiðni um undirskrift vottorðs ber opinberan lykil og óskað subject, undirritað með samsvarandi einkalykli. Sú undirskrift sannar að umsækjandi hefur lykilinn. Hún sannar ekki að umsækjandi eigi rétt á nafninu, tækinu eða VPN-hlutverkinu sem beðið er um, og að meðhöndla beiðnina eins og hún sanni það er einmitt hvernig hjálparborðsmiði verður aðgangsheimild.

Tvö skráningarlíkön er þess virði að bera saman eftir því hvað þau binda, ekki eftir því hvaða samskiptareglur þau tala.

Beiðni fullyrðir nafn, hún sannar það ekki

Lestu beiðnina eftir því sem í henni er í raun: opinber lykill, subject sem umsækjandi valdi og sjálfsundirskrift yfir hvort tveggja. Ekkert í þeirri uppbyggingu vísar til birgða þinna, reikningsskrárinnar eða samþykkisferlisins. Subject eins og cn=finance-laptop er strengur sem einhver sló inn. Þar til útgáfuferlið athugar þann streng gegn færslu sem það treystir er vottorðið fullyrðing með undirskrift viðhengda. Þessi greinarmunur er öll ástæðan fyrir því að skráningarferli er til.

Afleiðingin skiptir rekstrarlega máli. Vottorðayfirvöld þurfa aldrei einkalykil viðskiptavinarins til að gefa út vottorð, og ferli sem biður um hann hefur ruglað undirskrift saman við geymslu lykla. Haltu myndun á endapunktinum og sendu aðeins opinbera helminginn.

Berðu saman líkönin eftir því hvað þau binda

Handundirskrift bindur það sem rekstraraðilinn man eftir að athuga. Sjálfvirk skráningarþjónusta bindur auðkennda beiðni við ákvörðun sem þjónustan getur framfylgt, og RFC 7030 lýsir einni slíkri hönnun þar sem viðskiptavinurinn auðkennir sig áður en vottorði er skilað. Munurinn sem lifir endurskoðun er ekki sjálfvirknivæðing; heldur hvort auðkennisathugunin fer fram inni í útgáfuleiðinni eða við hlið hennar.

Bæði líkönin verða samt að svara sömu þremur spurningunum. Hver biður, á hvaða tæki eða hlutverki og í hve langan tíma. Miðakerfi sem skráir svörin vinnur raunverulega vinnu; röð þar sem einhver starir á algengt nafn gerir það ekki, sama hve vandlega vottorðið er sniðið síðar.

Veldu líkanið eftir fjölda skráninga sem þú býst við og eftir endurnýjun tækja. Nokkrir netþjónar á ári standast handvirka yfirferð með skriflegum gátlista. Floti fartölva gerir það ekki.

Skráðu lífsferilinn frá fyrstu útgáfu

Geymdu auðkenni vottorðsins, eigandann, fyrirhugaða notkun, gildistíma og fjarlægingarleið á útgáfustund, ekki við fyrsta atvik. Fyrirhuguð notkun á heima í vottorðinu sjálfu með rýmdu lykilnotkun, og færslan á að vera í samræmi við hana. Vottorð sem búið var til fyrir auðkenningu viðskiptavina á ekki að vera óaðgreinanlegt frá vottorði fyrir netþjón.

Skipuleggðu endurnýjun og afturköllun týnds tækis áður en þú gefur út tíunda prófílinn. Vottorð sem deilt er á milli deildar breytir markvissri fjarlægingu í niðurfall, og þá ákvörðun er mun ódýrara að endurskoða núna en í föstudagsatviki.

Athugaðu útgefna vottorðið og síðan aðganginn

Eftir skráningu, kannaðu hvað var gefið út og staðfestu að það keðjist til yfirvaldsins sem þú býst við. Tvær skipanir ná yfir algengu mistökin: vottorð með rangri notkun og keðja sem virkar aðeins vegna þess að viðskiptavinurinn er stilltur á að hunsa sannprófun.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Prófaðu síðan aðganginn frekar en gagnahlutinn. Vottorð staðfestir auðkenni, og stefnan ræður enn hvaða þjónustu það auðkenni má ná. Athugaðu hvort tveggja, því réttur gagnahlutur með of víðri stefnu fellur samt í yfirferð. Staðfestu að viðskiptavinurinn auðkenni sig og fái aðeins fyrirhugaðar slóðir eða auðlindir. Skráðu það sem þú sást, ekki það sem prófílnum átti að gera.

Prófíll sem virkar af rangri ástæðu, eins og samsvarandi algengt nafn og engin auðkennisathugun, mun halda áfram að virka eftir að stjórninni sem þú héltst hafa verið er eytt.