VPN სერტიფიკატების გაცემის დელეგირება ძირეული გასაღების გარეშე

ვიღაცს VPN კლიენტების რეგისტრაციის შესაძლებლობის მიცემა და მას ძირეული გასაღების გადატანადი ასლის მიცემა ორი სხვადასხვა ქმედებაა, და განსხვავება მხოლოდ მაშინ ჩნდება, როცა ეს ადამიანი მიდის ან ეს გასაღები ჟონავს. პირველი გაძლევთ ოპერაციას თქვენ მიერ კონტროლირებად სამუშაო პროცესში; მეორე გაძლევთ ნდობის შექმნის შესაძლებლობას ყველგან, ოფლაინ, უვადოდ. გადაწყვიტე, რომელი სწირდება საქმეს, სანამ რაიმე გასაღების მასალას შეეხებთ. იერარქიის დიაგრამა ამ კითხვას თქვენთვის არ უპასუხებს.

რეგისტრაციის საქმე ჩამოწერეთ სამ კითხვად: ვის შეუძლება მოთხოვნა, ვინ ამტკიცებს, და რისი ხელმოწერა შეუძლება გამცემ კომპონენტს.

გადაწყვიტე, რომელ შესაძლებლობას აძლევთ

გამცემ სერვისს შეუძლება წარმოადგინოს დამტკიცების სამუშაო პროცესი და ამავდროულად შეინახოს ხელმოწერის მასალა ცალკე მჟობლელთან. ოპერატორი ამტკიცებს მოწყობილობის მოთხოვნას, სერვისი ამთკიცებს პოლიტიკას და აღრიცხავს გაცემას, და ჩართული არერთი არ ფლობს CA გასაღებს. დააფიქსირეთ დაშვებული იდენტობები, დამტკიცებლები და ის დიაპაზონი, რისიც ქელმოწერაც შეუძლება სერვისს; შემდეგ დაიცვეთ მისი ადმინისტრირება ისე ფრთხილად, როგორც გასაღებს. სერტიფიკატის ხელმოწერის მოთხოვნა მოთხოვნაა, არა ავტორიზაციის გადაწყვეტილება.

აპარატურულად მხარდაჭერილი შენახვა ცვლის გასაღების კოპირების რისკს, არა ავტორიზაციის საწიროებას. არაექსპორტირებადი ნიშნავს, რომ გასაღების ამოღება შეუძლებელია, და არ ნიშნავს, რომ ყველას, ვინც ხელმოწერის ინტერფეისს გამოძახებს, სერტიფიკატზე უფლება აქვს. შეაფასეთ ამ ორი თვისება ცალ-ცალკე.

შუალედური სერტიფიკატი ზღუდავს უფლებამოსილებას

ძირეულს შეუძლება ყოველდღიური გაცემისთვის შუალედური სერტიფიკატის დამოწმება, რითაც რუტინული სამუშაო არ ეხება ძირეულ გასაღებს, თუ ძირეულის საკუთარი ხელმოწერისა და აღდგენის პროცედურები დაცული რჩება. ეს რეალური საზღვარია და უფასო არ არის: კიდევ ერთი სერტიფიკატი, კიდევ ერთი გასაღები, კიდევ ერთი განახლება და შესანარჩუნებელი კიდევ ერთი გაუქმების სია. გამოიყენეთ ის, როცა ის განზრახ მართვის ან რისკის საზღვარს წარმოადგენს. თითოეული ადმინისტრატორისთვის გამცემის შექმნა ყველაფრის მეტს აწარმოებს და ვერაფერს ყიდულობს, რაც სამუშაო პროცესმა უკვე არ მოგცათ.

შეამოწმეთ, რომ VPN გადამამწვებლები ჯაწვს თქვენი მოლოდნისამებრ აშენებენ. შუალედური სერტიფიკატის ჯაწვის აშენებისთვის გაგზავნა და მისი პირდაპირ სანდო ანკერად დაყენება სხვადასხვა მოწყობაა.

pathLen ნული არ ნიშნავს იმას, რასაც ფიქრობთ

RFC 5280 4.2.1.9 განყოფილება განსაზღვრავს ძირითად შეზღუდვებს, და მისი ბილიკის სიგრძის ველი ზღუდავს, რამდენი არა-თვითგამოცემული შუალედური სერტიფიკატი შეიძლება მოყვეს სწორ ბილიკში. ნული მნიშვნელობა ზღუდავს შემდეგ შუალედურ სიგრძეს; ის არ ზღუდავს საბოლოო სუბიექტის სერტიფიკატების რაოდენობას. ადამიანები ამას კითულობენ როგორც ნული დაშვებული სერტიფიკატი და შემდეგ იემდენ ტერებენ, რატომ გაცემა ჯერ კიდევ მუშაობს. წაიკითეთ ველი, როგორც სიგრძის შეზღუდვა CA-ებისთვის, და ქცევა პროგნოზირებადი გახდება.

იგივე განყოფილება გულისხმობს, რომ ნდობის ანკერი ბილიკის ვალიდაციის შემავალია და არა ბილიკის შიგნით ჩვეულებრივი სერტიფიკატი. ამიტომ თვითხელმოწერილი ძირეულისთვის გაუქმების ჩანაწერის გამოქვეყნება მას საიმედოდ არ შლის ყველა საცავიდან.

სამსახურიდან წასვლა გასაღების კომპრომისი არ არის

სადაც წასული მხოლოდ პირად მართვის ანგარიშს ფლობდა, გაუქმეთ ეს წვდომა და მისი სესიები მხარდაჭერილი იდენტობის პროცესით, შემდეგ გადახედეთ მის მიერ შექმნილ აქტივობას და დამტკიცებებს. არდე გაცემული კლიენტის სერტიფიკატები არ ხდებიან ბათილი იმის გამო, რომ მათი დამტკიცებელი წავიდა, და მათი კომპრომიტირებულებად განხილვა ისებს დიდ, არასაწირო ხელახლა რეგისტრაციას. ანგარიშის გააქტიურება ასევე ვერ შეძლებს გაუქმებული ხელმოწერის გასაღებს, ამიტომ პასუხი დამკიდებულია იმაზე, რომელი შესაძლებლობა იყო ხელში.

როცა შუალედური სერტიფიკატი კომპრომიტირდება, მისი ავტორიზაცია უნდა გაუქმედეს და ყოველი იდენტობა, რომელთაც ის გარანტიას იძლედა, შეიცვალოს, გადამამწვებლის მიერ გამოყენებული პოლიტიკის შესაბამისად. ძირეულის ნდობას საკუთარი პასუხი სწირდება, რადგან ანკერი ცხოვრობს ნდობის საცავებში, რომელსც შესაძლებლოა არ აკონტროლებდეთ.

მიიღეთ დიზაინი ოთხი კონკრეტული შემთხვევით: ვარგისი მოწყობილობა რეგისტრირდება, დაუმტკიცებელი მოთხოვნა უარყოფელია, წაშლილი ოპერატორი ვეღარ გასცემს, და პენსიაზე გასული გამცემი აღარ აძლევს წვდომას. ეს ოთხი შედეგი არის runbook.