D'Verdée vu VPN-Zertifikater delegéieren ouni de Root-Schlëssel

Engem d'Méiglechkeet ze ginn, VPN-Clienten anzeschreiwen, an him eng portabel Kopie vum Root-Schlëssel ze ginn, sinn zwou verschidden Handlungen, an den Ënnerscheed gëtt eréischt sichtbar, wann déi Persoun fortgeet oder dee Schlëssel leckt. Déi éischt gëtt eng Operatioun an engem Workflow, deen Dir kontrolléiert; déi zweet gëtt d'Fähegkeet, Vertrauen iwwerall, offline, onbegrenzt ze schafen. Entscheet, wat vun deenen zwee d'Aarbecht brauch, ier Dir iergendeen Schlësselmaterial beréiert. En Hierarchiediagramm wäert Iech déi Fro net beäntweren.

Schreift d'Inschreifaufgab als dräi Froe op: wien däerf ufroen, wien approuvéiert, a wat d'ausginn Komponent däerf ënnerschreiwen.

Entscheet, wéi eng Fähegkeet Dir gitt

En Ausgabsservice kann e Genehmegungsworkflow ënnerbriechen an d'Signaturmaterial trotzdem bei engem getrennten Besëtzer halen. En Operateur approuvéiert eng Apparatsufro, de Service applizéiert d'Politik a registréiert d'Ausgab, an niemand vun de Bedeelegte huet de CA-Schlëssel. Dokumentéiert déi erlaabt Identitéiten, d'Approuvéierer an de Beräich vun deem, wat de Service däerf ënnerschreiwen; schëtzt duerno seng Administratioun esou suergfälteg wéi de Schlëssel. Eng Zertifikatssignatursufro ass eng Ufro, keng Autorisatiounsentscheedung.

Hardware-gestäipt Späicheren ännert de Risiko, datt de Schlëssel kopéiert gëtt, net d'Notwendegkeet vun enger Autorisatioun. Net exportéierbar heescht, datt de Schlëssel net erausgeholl ka ginn, an et heescht net, datt jiddereen, deen d'Signatursinterface ka ruffen, en Urecht op en Zertifikat huet. Bewäert déi zwou Eegenschaften getrennt.

En Tëschezertifikat begrenzt d'Autoritéit

E Root kann en Tëschezertifikat fir déi deeglech Ausgab zertifizéieren, sou datt Routineaarbecht de Root-Schlëssel net méi beréiert, esou laang wéi dem Root seng eege Signatur- a Restauratiounsprozedure geschëtzt bleiwen. Dat ass eng richteg Grenz an se ass net gratis: nach en Zertifikat, nach e Schlëssel, nach eng Erneierung an nach eng Widderrufflëscht fir z'ënnerhalen. Benotzt een, wann et eng bewosst Gestiouns- oder Risikogrenz duerstellt. Fir all Administrateur en Ausgabsservice ze schafen, produzéiert méi vun allem a kaaft näischt, wat de Workflow net schonn ugebueden huet.

Iwwerpréift, datt d'VPN-Verifizéierer d'Kette sou bauen, wéi Dir et erwaart. En Tëschezertifikat fir de Kettebau ze schécken an et als direkt vertrauenswürdegen Anker z'installéieren, sinn ënnerschiddlech Arrangementer.

pathLen null heescht net, wat Dir denkt

RFC 5280 Abschnitt 4.2.1.9 definéiert d'Basisrestriktiounen, an säi Weelängtfeld begrenzt, wéi vill net selbstausgestallt Tëschezertifikater an engem gültege Wee kënne folgen. De Wäert null beschränkt déi weider Tëschendéift; et begrenzt net d'Zuel vun den Endentitéitszertifikater. D'Leit liesen et als null erlaabt Zertifikater a froe sech dann, firwat d'Ausgab nach ëmmer funktionéiert. Liest d'Feld als eng Déiftebegrenzung fir CAs, an d'Verhalen gëtt viraussobar.

Den selwechten Abschnitt implizéiert, datt en Vertrauensanker en Input fir d'Weevalidéierung ass an net en gewéinlecht Zertifikat bannent dem Wee. Dofir entfernt d'Verëffentlechung vun engem Widderruffandrag fir e selbstsignéierte Root en net zouverlässeg aus all Späicher.

D'Aarbecht ze verloossen ass keng Schlësselkompromittéierung

Wou dee Geheenden näischt wéi e perséinlechen Administratiounskont hat, widderrufft deen Zougang an seng Sessiounen iwwer dee ënnerstëtzten Identitéitsprozess, a kuckt duerno d'Aktivitéit an d'Approuvatiounen, déi en erstallt huet. Virdrun ausgestallt Clientzertifikater ginn net ongülteg, well hirem Approuvéierer fortgaang ass, an se als kompromittéiert ze behandelen schaaft eng grouss, onnéideg Néiinschreifung. En Kont z'deaktivéieren kann och ee kopéierte Signaturschlëssel net ongülteg maachen, dofir hänkt d'Äntwert dovun of, wéi eng Fähegkeet gehal gouf.

Wann en Tëschezertifikat kompromittéiert gëtt, muss seng Autorisatioun zréckgezunn an all Identitéit, fir déi et gebiergt huet, ersat ginn, no der Politik, déi de Verifizéierer duerchsetzt. Root-Vertrauen brauch seng eege Äntwert, well den Anker a Vertrauensspäicher lieft, déi Dir vläicht net kontrolléiert.

Akzeptéiert den Design mat véier konkrete Fäll: en zoulässegen Apparat schreift sech an, eng net approuvéiert Ufro gëtt ofgeleent, en entfernten Operateur kann net méi ausginn, an en zréckgetrueden Ausgabsservice gëtt keen Zougang méi. Déi véier Resultater sinn de Runbook.