Deleģēt VPN sertifikātu izsniegšanu bez saknes atslēgas

Dot kādam iespēju reģistrēt VPN klientus un dot viņam pārnēsājamu saknes atslēgas kopiju ir divas dažādas darbības, un atšķirība kļūst redzama tikai tad, kad šī persona aiziet vai šī atslēga noplūst. Pirmā piešķir darbību jūsu kontrolētā darbplūsmā; otrā piešķir spēju radīt uzticību jebkur, bezsaistē, uz nenoteiktu laiku. Izlemiet, kura darbam nepieciešama, pirms pieskaraties jebkuram atslēgas materiālam. Hierarhijas diagramma uz šo jautājumu jūsu vietā neatbildēs.

Pierakstiet reģistrācijas darbu kā trīs jautājumus: kas drīkst pieprasīt, kas apstiprina un ko izsniegšanas komponents drīkst parakstīt.

Izlemiet, kādu spēju jūs piešķirat

Izsniegšanas pakalpojums var piedāvāt apstiprināšanas darbplūsmu, vienlaikus turot parakstīšanas materiālu pie atsevišķa īpašnieka. Operators apstiprina ierīces pieprasījumu, pakalpojums piemēro politiku un reģistrē izsniegšanu, un neviens no iesaistītajiem netur CA atslēgu. Dokumentējiet atļautās identitātes, apstiprinātājus un to, ko pakalpojums drīkst parakstīt; pēc tam aizsargājiet tā administrēšanu tikpat rūpīgi kā atslēgu. Sertifikāta parakstīšanas pieprasījums ir pieprasījums, nevis autorizācijas lēmums.

Uz aparatūras balstīta glabāšana maina atslēgas kopēšanas risku, nevis autorizācijas nepieciešamību. Neizvedams nozīmē, ka atslēgu nevar izņemt, un tas nenozīmē, ka ikvienam, kas var izsaukt parakstīšanas saskarni, ir tiesības uz sertifikātu. Novērtējiet šīs divas īpašības atsevišķi.

Starpsertifikāts ierobežo pilnvaras

Sakne var sertificēt starpsertifikātu ikdienas izsniegšanai, tāpēc rutīnas darbs vairs nepieskaras saknes atslēgai, kamēr saknes pašas parakstīšanas un atjaunošanas procedūras paliek aizsargātas. Tā ir reāla robeža, un tā nav bez maksas: vēl viens sertifikāts, vēl viena atslēga, vēl viens atjauninājums un vēl viens atsaukšanas saraksts, kas jāuztur. Izmantojiet to, kad tas pārstāv apzinātu pārvaldības vai riska robežu. Izveidot izsniedzēju katram administratoram rada vairāk visa un neko nepērk, ko darbplūsma jau nenodrošināja.

Pārbaudiet, vai VPN pārbaudītāji veido ķēdi tā, kā jūs sagaidāt. Starpsertifikāta piegāde ķēdes veidošanai un tā instalēšana kā tieši uzticamam enkuram ir dažādi izkārtojumi.

pathLen nulle nenozīmē to, ko jūs domājat

RFC 5280 4.2.1.9 sadaļa definē pamata ierobežojumus, un tās ceļa garuma lauks ierobežo, cik pašizsniegtu starpsertifikātu var sekot derīgā ceļā. Nulles vērtība ierobežo turpmāku starpziņu dziļum u; tā neierobežo gala vienību sertifikātu skaitu. Cilvēki to lasa kā nulli atļautu sertifikātu un tad brīnās, kāpēc izsniegšana joprojām darbojas. Lasiet lauku kā dziļuma ierobežojumu CA, un uzvedība kļūst paredzama.

Tā pati sadaļa norāda, ka uzticības enkurs ir ceļa validācijas ievade, nevis parasts sertifikāts ceļā. Tāpēc atsaukšanas ieraksta publicēšana pašparakstītai saknei to uzticami neizņem no katras krātuves.

Aiziešana no darba nav atslēgas kompromitēšana

Ja aizejošajam bija tikai personisks pārvaldības konts, atsauciet šo piekļuvi un tās sesijas ar atbalstīto identitātes procesu, pēc tam pārskatiet viņa radīto darbību un apstiprinājumus. Iepriekš izsniegtie klienta sertifikāti nekļūst nederīgi tāpēc, ka to apstiprinātājs aizgāja, un to uztveršana kā kompromitētu rada lielu, nevajadzīgu atkārtotu reģistrāciju. Konta atspējošana arī nevar padarīt nederīgu nokopētu parakstīšanas atslēgu, tāpēc atbilde ir atkarīga no tā, kura spēja bija turēta.

Kad starpsertifikāts tiek kompromitēts, tā autorizācija ir jāatsauc un katra identitāte, par kuru tas galvoja, jāaizstāj, ievērojot politiku, ko piemēro pārbaudītājs. Saknes uzticībai vajadzīga sava atbilde, jo enkurs dzīvo uzticības krātuvēs, kuras jūs, iespējams, nekontrolējat.

Pieņemiet dizainu ar četriem konkrētiem gadījumiem: piemērota ierīce reģistrējas, neapstiprināts pieprasījums tiek noraidīts, noņemts operators vairs nevar izsniegt, un pensionēts izsniedzējs vairs nepiešķir piekļuvi. Šie četri rezultāti ir runbook.