CSR만으로는 등록이 아닙니다: VPN CA가 확인해야 할 것

인증서 서명 요청에는 공개 키와 요청된 subject가 들어 있으며, 일치하는 개인 키로 서명됩니다. 그 서명은 요청자가 키를 보유하고 있음을 증명합니다. 요청한 이름, 기기 또는 VPN 역할에 대한 권리가 있음을 증명하지는 않으며, 그것을 증명하는 것처럼 다루는 것이 바로 헬프데스크 티켓이 접근 권한 부여로 바뀌는 방식입니다.

두 등록 모델은 어떤 프로토콜을 쓰는지가 아니라 무엇을 묶는지로 비교할 가치가 있습니다.

요청은 이름을 주장할 뿐 증명하지 않습니다

요청을 실제로 담고 있는 것으로 읽으십시오. 공개 키, 요청자가 고른 subject, 그리고 둘 모두에 대한 자체 서명입니다. 그 구조에는 인벤터리, 계정 디렉터리, 승인 워크플로를 참조하는 것이 없습니다. cn=finance-laptop 같은 subject는 누군가 입력한 문자열입니다. 발급 과정이 그 문자열을 신뢰하는 기록과 대조하기 전까지 인증서는 서명이 첨부된 주장일 뿐이며, 이 구분이 등록 과정이 존재하는 이유 전체입니다.

그 결과는 운영상 중요합니다. 인증 기관은 인증서를 발급하는 데 클라이언트의 개인 키를 결코 필요로 하지 않으며, 그것을 요구하는 워크플로는 서명과 키 보관을 혼동한 것입니다. 생성은 엔드포인트에 두고 공개 부분만 보내십시오.

모델을 무엇을 묶는지로 비교하십시오

수동 서명은 운영자가 확인하려고 기억하는 것만 묶습니다. 자동화된 등록 서비스는 인증된 요청을 서비스가 강제할 수 있는 결정에 묶으며, RFC 7030은 인증서가 반환되기 전에 클라이언트가 인증하는 그러한 설계 하나를 설명합니다. 감사를 견디는 차이는 자동화가 아니라, 신원 확인이 발급 경로 안에서 일어나는지 옆에서 일어나는지입니다.

두 모델 모두 여전히 같은 세 가지 질문에 답해야 합니다. 누가 요청하는지, 어느 기기나 역할에서, 얼마 동안인지. 답을 기록하는 티켓 시스템은 실제 일을 하지만, 누군가 일반 이름을 바라보기만 하는 대기열은 그렇지 않으며, 나중에 인증서를 아무리 세심하게 형식화해도 마찬가지입니다.

모델은 예상하는 등록 건수와 기기 교체율로 선택하십시오. 연간 몇 대의 서버는 서면 점검 목록을 갖춘 수동 검토로 충분합니다. 노트북 함대는 그렇지 않습니다.

첫 발급부터 수명 주기를 기록하십시오

발급 시점에 인증서 식별자, 소유자, 의도된 용도, 만료, 제거 경로를 저장하고 첫 사고 때까지 미루지 마십시오. 의도된 용도는 확장 키 사용을 통해 인증서 자체에 있어야 하며, 기록도 그것과 일치해야 합니다. 클라이언트 인증용으로 만든 인증서가 서버용 인증서와 구별되지 않아서는 안 됩니다.

열 번째 프로필을 발급하기 전에 갱신과 분실 기기 폐기를 계획하십시오. 부서 전체가 공유하는 인증서는 표적화된 제거를 중단으로 바꾸며, 그 결정은 금요일 사고 중에 검토하는 것보다 지금 검토하는 편이 훨씬 저렴합니다.

발급된 인증서를 확인하고 다음으로 접근을 확인하십시오

등록 후 무엇이 발급되었는지 확인하고 예상한 기관으로 체인이 이어지는지 확인하십시오. 두 명령이 흔한 실수, 즉 용도가 잘못된 인증서와 클라이언트가 검증을 무시하도록 설정되어 있기 때문에만 동작하는 체인을 다룹니다.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

그다음에는 산출물이 아니라 접근을 시험하십시오. 인증서는 신원을 세우지만, 그 신원이 어느 서비스에 닿을 수 있는지는 정책이 결정합니다. 둘 다 확인하십시오, 올바른 산출물도 정책이 너무 넓으면 검토에서 떨어지기 때문입니다. 클라이언트가 인증하고 의도된 경로나 리소스만 받는지 확인하십시오. 관찰한 것을 기록하고, 프로필이 했어야 할 일을 적지 마십시오.

잘못된 이유로 동작하는 프로필, 예컨대 일치하는 일반 이름만 있고 신원 확인이 없는 경우는 있다고 생각했던 통제가 제거된 뒤에도 계속 동작합니다.