Deleguoti VPN sertifikatų išdavimą be šakninio rakto

Duoti kam nors galimybę registruoti VPN klientus ir duoti jam nešiojamą šakninio rakto kopiją yra du skirtingi veiksmai, ir skirtumas tampa matomas tik tada, kai tas žmogus išeina arba tas raktas nuteka. Pirmasis suteikia operaciją jūsų kontroliuojamame darbo procese; antrasis suteikia galimybę kurti pasitikėjimą bet kur, neprisijungus, neribotą laiką. Nuspręskite, kurio reikia darbui, prieš liesdami bet kokĥ raktų medžiagą. Hierarchijos diagrama į šį klausimą už jus neatsakys.

Užrašykite registracijos darbą kaip tris klausimus: kas gali prašyti, kas tvirtina ir ką išduodantis komponentas gali pasirašyti.

Nuspręskite, kokĥ galimybę suteikiate

Išduodanti paslauga gali pateikti tvirtinimo darbo procesą ir vis tiek laikyti pasirašymo medžiagą pas atskirą savininką. Operatorius patvirtina įrenginio prašymą, paslauga taiko politiką ir įrašo išdavimą, ir nė vienas dalyvis neturi CA rakto. Dokumentuokite leidžiamas tapatybes, tvirtintojus ir tai, ką paslauga gali pasirašyti; tada saugokite jos administravimą taip pat kruopščiai kaip raktą. Sertifikato pasirašymo prašymas yra prašymas, o ne autorizacijos sprendimas.

Aparatūros palaikoma saugykla keičia rakto nusikopijavimo riziką, o ne autorizacijos poreikį. Neišeksportuojamas reiškia, kad rakto negalima išimti, ir tai nereiškia, kad bet kas, kas gali iškviesti pasirašymo sąsają, turi teisę į sertifikatą. Vertinkite šias dvi savybes atskirai.

Tarpinis sertifikatas apriboja įgaliojimus

Šaknis gali sertifikuoti tarpinį sertifikatą kasdieniam išdavimui, todėl įprastas darbas nebepaliečia šakninio rakto, jei šaknies pačios pasirašymo ir atkūrimo procedūros lieka apsaugotos. Tai tikra riba ir ji nėra nemokama: dar vienas sertifikatas, dar vienas raktas, dar vienas atnaujinimas ir dar vienas panaikinimo sąrašas, kurį reikia prižiūrėti. Naudokite jį, kai jis atstovauja sąmoningai valdymo ar rizikos ribai. Kiekvienam administratoriui kurti išdavėją pagamina daugiau visko ir nieko nenuperka, ko darbo procesas jau nesuteikė.

Patikrinkite, ar VPN tikrintuvai grandinę stato taip, kaip tikitės. Tarpinio sertifikato siuntimas grandinės statybai ir jo įdiegimas kaip tiesiogiai patikimo inkaro yra skirtingos sąrangos.

pathLen nulis nereiškia to, ką manote

RFC 5280 4.2.1.9 skirsnis apibrėžia pagrindinius apribojimus, ir jo kelio ilgio laukas riboja, kiek ne savęs išduotų tarpinių sertifikatų gali sekti galiojančiame kelyje. Nulio reikšmė riboja tolesnį tarpinį gylį; ji neriboja galinių subjektų sertifikatų skaičiaus. Žmonės tai skaito kaip nulį leidžiamų sertifikatų ir tada stebisi, kodėl išdavimas vis dar veikia. Skaitykite lauką kaip gylio ribą CA, ir elgsena tampa nuspėjama.

Tas pats skirsnis sufleruoja, kad pasitikėjimo inkaras yra kelio tikrinimo įvestis, o ne įprastas sertifikatas kelio viduje. Todėl panaikinimo įrašo paskelbimas savarankiškai pasirašytai šakniai nepatikimai jos nepašalina iš kiekvienos saugyklos.

Išėjimas iš darbo nėra rakto kompromitavimas

Kai išeinantis asmuo turėjo tik asmeninę administravimo paskyrą, atšaukite tą prieigą ir jos sesijas per palaikomą tapatybės procesą, tada peržiūrėkite jo sukurtą veiklą ir patvirtinimus. Anksčiau išduoti kliento sertifikatai netampa negaliojantys dėl to, kad jų tvirtintojas išėjo, ir jų traktavimas kaip kompromituotų sukuria didelį, nereikalingą pakartotinį registravimą. Paskyros išjungimas taip pat negali panaikinti nusikopijuoto pasirašymo rakto, todėl atsakymas priklauso nuo to, kokia galimybė buvo turima.

Kai tarpinis sertifikatas kompromituojamas, jo autorizacija turi būti atšaukta, o kiekviena tapatybė, už kurią jis laidavo, pakeista, laikantis politikos, kurią taiko tikrintuvas. Šaknies pasitikėjimui reikia atskiro atsakymo, nes inkaras gyvena pasitikėjimo saugyklose, kurių galite nekontroliuoti.

Priimkite dizainą su keturiais konkrečiais atvejais: tinkamas įrenginys užsiregistruoja, nepatvirtintas prašymas atmetamas, pašalintas operatorius nebegali išduoti, o išėjęs į pensiją išdavėjas nebesuteikia prieigos. Tie keturi rezultatai yra runbook.