Delegare l'emissione di certificati VPN senza la chiave radice

Dare a qualcuno la capacità di registrare client VPN e dargli una copia portatile della chiave radice sono due atti diversi, e la differenza diventa visibile solo quando quella persona se ne va o quella chiave trapela. Il primo concede un'operazione dentro un flusso di lavoro che controllate; il secondo concede la capacità di coniare fiducia ovunque, offline, a tempo indefinito. Decidete quale dei due serve al lavoro prima di toccare qualsiasi materiale di chiave. Un diagramma di gerarchia non risponderà a quella domanda per voi.

Scrivete il lavoro di registrazione come tre domande: chi può richiedere, chi approva e cosa il componente emittente può firmare.

Decidete quale capacità state concedendo

Un servizio emittente può esporre un flusso di approvazione mantenendo il materiale di firma presso un proprietario separato. Un operatore approva una richiesta di dispositivo, il servizio applica la politica e registra l'emissione, e nessuno degli coinvolti possiede la chiave CA. Documentate le identità consentite, gli approvatori e l'ambito di ciò che il servizio può firmare; poi proteggete la sua amministrazione con la stessa cura della chiave. Una richiesta di firma di certificato è una richiesta, non una decisione di autorizzazione.

L'archiviazione con supporto hardware cambia il rischio di copiare la chiave, non la necessità di autorizzazione. Non esportabile significa che la chiave non può essere estratta, e non significa che chiunque possa richiamare l'interfaccia di firma abbia diritto a un certificato. Valutate queste due proprietà separatamente.

Un intermedio limita l'autorità

Una radice può certificare un intermedio per l'emissione quotidiana, così il lavoro ordinario non tocca più la chiave radice, purché le procedure di firma e recupero della radice stessa restino protette. È un confine reale e non è gratuito: un altro certificato, un'altra chiave, un altro rinnovo e un'altra lista di revoca da mantenere. Usatene uno quando rappresenta un confine deliberato di gestione o di rischio. Creare un emittente per amministratore produce di più di tutto e non compra nulla che il flusso di lavoro non offrisse già.

Verificate che i verificatori VPN costruiscano la catena come vi aspettate. Spedire un intermedio per costruire la catena e installarlo come ancora direttamente attendibile sono disposizioni diverse.

pathLen zero non significa quello che pensate

La RFC 5280 sezione 4.2.1.9 definisce i vincoli di base, e il suo campo di lunghezza del percorso limita quanti certificati intermedi non auto-emessi possono seguire in un percorso valido. Un valore zero restringe l'ulteriore profondità intermedia; non limita il numero di certificati di entità finale. Le persone lo leggono come zero certificati consentiti e poi si chiedono perché l'emissione funziona ancora. Leggete il campo come un limite di profondità per le CA, e il comportamento diventa prevedibile.

La stessa sezione implica che un'ancora di fiducia è un input alla validazione del percorso, non un certificato ordinario dentro il percorso. Per questo pubblicare una voce di revoca per una radice auto-firmata non la rimuove in modo affidabile da ogni archivio.

L'uscita non è una compromissione della chiave

Dove chi se ne va deteneva solo un account personale di gestione, revocate quell'accesso e le sue sessioni tramite il processo di identità supportato, poi esaminate l'attività e le approvazioni che ha prodotto. I certificati client emessi in precedenza non diventano invalidi perché il loro approvatore se n'è andato, e trattarli come compromessi crea una grande e inutile nuova registrazione. Disattivare un account non può nemmeno invalidare una chiave di firma copiata, quindi la risposta dipende da quale capacità era detenuta.

Quando un intermedio viene compromesso, la sua autorizzazione deve essere revocata e ogni identità per cui ha garantito sostituita, secondo la politica che il verificatore applica. La fiducia della radice richiede una risposta propria, perché l'ancora vive in archivi di fiducia che potreste non controllare.

Accettate il progetto con quattro casi concreti: un dispositivo idoneo si registra, una richiesta non approvata viene rifiutata, un operatore rimosso non può più emettere e un emittente ritirato non concede più accesso. Quei quattro risultati sono il runbook.