Делегирајте издавање VPN сертификати без коренскиот клуч

Да му дадете некому можност да регистрира VPN клиенти и да му дадете пренослива копија од коренскиот клуч се две различни дејства, и разликата станува видлива само кога таа личност ќе замине или тој клуч ќе протече. Првото доделува операција во работен тек што го контролирате; второто ја доделува способноста да создавате доверба каде било, офлајн, неограничено. Одлучете кое од двете и е потребно на работата пред да допрете каков било клучен материјал. Хиерархиски дијаграм нема да ви одговори на тоа прашање.

Запишете ја работата за регистрација како три прашања: кој смее да побара, кој одобрува и што смее да потпише компонентата што издава.

Одлучете која способност ја давате

Услуга што издава може да изложи работен тек за одобрување, а притоа да го држи материјалот за потпишување кај посебен сопственик. Оператор одобрува барање за уред, услугата применува политика и го запишува издавањето, и никој вклучен не го држи клучот на CA. Документирајте ги дозволените идентитети, одобрувачите и опсегот на она што услугата смее да го потпише; потоа заштитете ја нејзината администрација исто толку внимателно како клучот. Барањето за потпишување сертификат е барање, а не одлука за авторизација.

Складирањето со хардверска поддршка го менува ризикот од копирање на клучот, а не потребата од авторизација. Неизвозноста значи дека клучот не може да се извади, и не значи дека секој што може да го повика интерфејсот за потпишување има право на сертификат. Оценете ги овие две својства одделно.

Средниот сертификат ја ограничува власта

Коренот може да сертифицира среден сертификат за секојдневно издавање, така што рутинската работа веќе не го допира коренскиот клуч, сќ додека сопствените постапки за потпишување и обновување на коренот остануваат заштитени. Тоа е вистинска граница и не е бесплатна: уште еден сертификат, уште еден клуч, уште едно обновување и уште еден список за отповикување за одржување. Користете го кога претставува намерна граница на управување или ризик. Создавањето издавач за секој администратор произведува повеќе од сў, а не купува ништо што работниот тек веќе не го обезбедувал.

Проверете дали верификаторите на VPN ја градат веригата како што очекувате. Испраќањето среден сертификат за градење верига и негово инсталирање како директно доверено сидро се различни поставки.

pathLen нула не значи она што мислите

RFC 5280 дел 4.2.1.9 ги дефинира основните ограничувања, и неговото поле за должина на патеката ограничува колку средни сертификати што не се самосоздадени можат да следат во валидна патека. Вредноста нула го ограничува понатамошниот среден длабочина; таа не го ограничува бројот на сертификати на крајниот ентитет. Луќето го читаат како нула дозволени сертификати и потоа се прашуваат зошто издавањето сќ уште работи. Читајте го полето како ограничување на длабочината за CA, и однесувањето станува предвидливо.

Истиот дел подразбира дека сидрото на доверба е влез во валидацијата на патеката, а не обичен сертификат внатре во патеката. Затоа објавувањето запис за отповикување за самопотпишан корен не го отстранува сигурно од секое складиште.

Заминувањето не е компромитација на клуч

Кога лицето што заминува држело само лична административна сметка, отповикајте го тој пристап и неговите сесии преку поддржаниот процес за идентитет, потоа прегледајте ја активноста и одобрувањата што ги создало. Претходно издадените клиентски сертификати не стануваат неважечки затоа што нивниот одобрувач заминал, и нивното третирање како компромитирани создава голема, непотребна повторна регистрација. Исклучувањето сметка исто така не може да го поништи копираниот клуч за потпишување, па одговорот зависи од тоа која способност била задржана.

Кога среден сертификат е компромитиран, неговата авторизација мора да се повлече и секој идентитет за кој гарантирал да се замени, следеќи ја политиката што ја спроведува верификаторот. Довербата во коренот бара свој одговор, бидеќи сидрото живее во складишта за доверба што можеби не ги контролирате.

Прифатете го дизајнот со четири конкретни случаи: соодветен уред се регистрира, неодобрено барање се одбива, отстранет оператор веќе не може да издава, и пензиониран издавач веќе не дава пристап. Тие четири резултати се runbook.