E CSR eleng ass keng Inschreiwung: wat eng VPN-CA muss kontrolléieren

Eng Zertifikatsënnerschrëftsuerfro dréit eng ëffentlech Schlëssel an e gefrote Subject, ënnerschriwwen mat der passender privater Schlëssel. Dës Ënnerschrëft beweist, datt de Ufroer de Schlëssel huet. Si beweist net, datt den Ufroer en Recht op den Numm, d'Apparat oder d'VPN-Roll huet, déi gefrot gëtt, a mat der Ufro esou ëmzegoen, wéi wann se dat beweist, ass genee de Wee, wéi en Helpdesk-Ticket eng Zougangsgenehmegung gëtt.

Zwéin Inschreiwungsmodeller sinn et wäert, se no deem ze vergläichen, wat se bannen, net no deem, wat fir e Protokoll se schwätzen.

Eng Ufro behaapt en Numm, si beweist en net

Liest d'Ufro fir dat, wat wierklech dran ass: eng ëffentlech Schlëssel, e Subject, deen den Ufroer gewielt huet, an eng Eege-Ënnerschrëft iwwer béid. Näischt an dëser Struktur verweist op Ären Inventar, Ären Kontenverzeechnis oder Ären Genehmegungsprozess. En Subject wéi cn=finance-laptop ass eng Zeecheketten, déi een getippt huet. Bis den Ausgabeprozess déi Zeecheketten géint en Dokument kontrolléiert, deem en vertraut, ass d'Zertifikat eng Behauptung mat enger Ënnerschrëft derbäi. Dësen Ënnerscheed ass de ganzen Grond, firwat et en Inschreiwungsprozess gëtt.

D'Konsequenz ass operationell wichteg. Eng Zertifizéierungsautoritéit brauch ni dem Client seng privat Schlëssel, fir en Zertifikat auszestellen, an e Prozess, deen eng freet, huet d'Ënnerschreiwen mat der Schlësselverwahrung verwiesselt. Halt d'Generéierung um Endpunkt a schéck just déi ëffentlech Halschent.

Vergläicht d'Modeller no deem, wat se bannen

Manuell Ënnerschrëft bannt dat, wat den Operateur drun denkt ze kontrolléieren. En automatiséierten Inschreiwungsservice bannt eng authentifizéiert Ufro un eng Entscheedung, déi de Service duerchsetze kann, an RFC 7030 beschreift esou en Design, wou de Client sech authentifizéiert, éier en Zertifikat zréckkënnt. Den Ënnerscheed, deen en Audit iwwersteet, ass net d'Automatiséierung; et ass, ob d'Identitéitskontrolle bannen am Ausgabewee oder dernieft geschitt.

Béid Modeller mussen awer nach déi selwecht dräi Froen beäntweren. Wien freet, op wéi engem Apparat oder Roll, a fir wéi laang. En Ticksystem, dat d'Äntwerten festhält, mécht richteg Aarbecht; eng Warteschlaang, wou een op en allgemenge Numm kuckt, net, egal wéi suergfälteg d'Zertifikat duerno formatéiert gëtt.

Wielt de Modell no der Zuel vun Inschreiwungen, déi Dir erwaart, an no der Ëmstellung vun den Apparater. Eng Handvoll Server am Joer kann eng manuell Iwwerpréiwung mat enger schrëftlecher Checkliste packen. Eng Flott Laptops net.

Halt de Liewenszyklus vun der éischter Ausgab un fest

Späichert d'Identifikatioun vum Zertifikat, den Eegentemer, den Zweck, den Ofleef an de Wee fir ewechzehuelen am Moment vun der Ausgab, net beim éischten Tëschefall. Den Zweck gehéiert iwwer eng erweidert Schlësselnotzung an d'Zertifikat selwer, an den Dossier muss domat iwwereneestëmmen. En Zertifikat, dat fir d'Client-Authentifizéierung gemaach gouf, soll net vun engem fir e Server onënnerscheedbar sinn.

Plangt d'Erneierung an d'Réckzuch vun engem verluerenen Apparat, éier Dir de zéngte Profil ausstellt. En Zertifikat, dat iwwer eng Abteilung gedeelt gëtt, mécht aus enger geriichter Ewechhuelung eng Ausfal, an déi Entscheedung ass vill méi bëlleg elo ze iwwerpréiwen wéi während engem Freideg-Tëschefall.

Kontrolléiert den ausgestallten Zertifikat, duerno den Zougang

No der Inschreiwung, kuckt no, wat ausgestallt gouf, a bestätegt, datt et bis bei d'Autoritéit verkett, déi Dir erwaart. Zwee Kommandoe decken déi heefeg Feeler: en Zertifikat mat der falscher Notzung, an eng Kette, déi just funktionéiert, well de Client konfiguréiert ass, d'Validéierung ze ignoréieren.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Testt duerno den Zougang an net den Artefakt. En Zertifikat etabléiert Identitéit, an d'Politik entscheet nach ëmmer, wéi eng Servicer dës Identitéit erreeche kann. Kontrolléiert béides, well en korrekten Artefakt mat enger ze breeder Politik och eng Iwwerpréiwung net packt. Bestätegt, datt de Client sech authentifizéiert a just déi virgesinn Weeër oder Ressourcen kritt. Nottéiert, wat Dir observéiert hutt, net wat de Profil hätt solle maachen.

De Profil, dee aus dem falsche Grond funktionéiert, wéi en iwwereneestëmmenden allgemengen Numm an engem fehlenden Identitéitscheck, wäert weider funktionéieren, nodeems d'Kontroll, déi Dir gegleeft hutt ze hunn, ewechgeholl gouf.