Ганц CSR нь бүртгэл биш: VPN CA юуг шалгах ёстой

Гэрчилгээний гарын үсгийн хүсэлт нь тохирох хувийн түлхүүрээр гарын үсэг зурсан нийтийн түлхүүр болон хүссэн subject-ийг агуулна. Тэр гарын үсэг нь хүсэлт гаргагч түлхүүртэй гэдгийг нотолж байна. Энэ нь хүсэлт гаргагч хүссэн нэр, төхөөрөмж эсвэл VPN-ийн үүрэгт эрхтэй гэдгийг нотлохгүй бөгөөд хүсэлтийг нотолж байгаа мэт хандах нь тусламжийн ширээний тасалбар хандалтын зөвшөөрөл болох зам юм.

Хоёр бүртгэлийн загварыг ямар протоколоор ярьдаг талаас биш, юуг холбодог талаас нь харьцуулах нь зүйтэй.

Хүсэлт нэр мэдэгддэг, нотолдоггүй

Хүсэлтийг дотор нь үнэхээр юу байгаагаар нь уншина уу: нийтийн түлхүүр, хүсэлт гаргагчийн сонгосон subject, хоёуланд нь тавьсан өөрийн гарын үсэг. Тэр бүтцэд таны бүртгэл, дансны лавлах эсвэл зөвшөөрлийн урсгалыг дурдсан зүйл байхгүй. cn=finance-laptop гэх мэт subject бол хэн нэгний бичсэн мөр юм. Олгох процесс тэр мөрийг итгэдэг бичлэгтэйгээ тулгаж шалгах хүртэл гэрчилгээ нь гарын үсэг хавсаргасан мэдэгдэл юм. Энэ ялгаа нь бүртгэлийн процесс орших бүх шалтгаан.

Үр дагавар нь үйл ажиллагааны ач холбогдолтой. Гэрчилгээний байгууллага гэрчилгээ олгоход хэзээ ч харилцагчийн хувийн түлхүүр шаарддаггүй бөгөөд түүнийг шаарддаг урсгал нь гарын үсэг зурахыг түлхүүр хадгалахтай андуурсан. Үүсгэлтийг төгсгөлийн цэг дээр үлдээж, зөвхөн нийтийн хагасыг илгээнэ үү.

Загваруудыг юуг холбодог талаас нь харьцуулна уу

Гараар гарын үсэг зурах нь операторын шалгахаар санаж байгаа зүйлийг холбодог. Автоматжуулсан бүртгэлийн үйлчилгээ нь баталгаажсан хүсэлтийг үйлчилгээ хэрэгжүүлж чадах шийдвэртэй холбодог бөгөөд RFC 7030 нь гэрчилгээ буцаахаас өмнө харилцагч баталгаажддаг ийм нэг загварыг тайлбарладаг. Аудитыг давах ялгаа нь автоматжуулалт биш; харин таних шалгалт олгох замын дотор эсвэл хажууд явагдаж байгаа эсэх юм.

Хоёр загвар хоёулаа ижил гурван асуултад хариулах ёстой. Хэн хүсч байна, ямар төхөөрөмж эсвэл үүрэгт, хэр удаан. Хариултыг бүртгэдэг тасалбарын систем бодит ажил хийж байна; хэн нэгэн нийтлэг нэрийг ширтэж суудаг дараалал тийм биш, дараа нь гэрчилгээг хэр болгоомжтой форматласан ч.

Загварыг хүлээж буй бүртгэлийн тоо болон төхөөрөмжийн эргэлтээр сонгоно уу. Жилд хэдхэн сервер бичмэл шалгах хуудастай гараар хяналтыг дааж чадна. Зөөврийн компьютерын парк даахгүй.

Анхны олголтоос эхлэн амьдралын мөчлөгийг бүртгэнэ үү

Олгох мөчид гэрчилгээний таних тэмдэг, эзэн, зорилготой хэрэглээ, хугацаа, устгах замыг хадгална уу, эхний осол дээр биш. Зорилготой хэрэглээ нь өргөтгөсөн түлхүүрийн хэрэглээгээр гэрчилгээний дотор байх ёстой бөгөөд бичлэг түүнтэй нийцэх ёстой. Харилцагчийн баталгаажуулалтад зориулсан гэрчилгээ нь серверт зориулсан гэрчилгээнээс ялгагдахгүй байх ёсгүй.

Арав дахь профайлыг олгохоос өмнө шинэчлэлт болон алдагдсан төхөөрөмжийг хүчингүй болгохыг төлөвлөнө үү. Хэлтэс даяар хуваалцсан гэрчилгээ нь зорилтот устгалыг тасалдал болгож хувиргадаг бөгөөд энэ шийдвэрийг одоо дахин харах нь баасан гарагийн ослын үеийнхээс хамаагүй хямд.

Олгосон гэрчилгээг, дараа нь хандалтыг шалгана уу

Бүртгүүлсний дараа юу олгогдсоныг шалгаж, хүлээж буй байгууллага хүртэл гинжин холбоотой эсэхийг баталгаажуулна уу. Хоёр команд нийтлэг алдааг хамардаг: буруу хэрэглээтэй гэрчилгээ, харилцагч баталгаажуулалтыг үл тоомсорлохоор тохируулагдсан учраас л ажилладаг гинж.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Дараа нь артефакт биш, хандалтыг туршина уу. Гэрчилгээ нь хэн болохыг тогтоодог бөгөөд тэр хэн болох нь ямар үйлчилгээнд хүрч болохыг бодлого шийдсээр байна. Хоёуланг нь шалгана уу, учир нь зөв артефакт хэт өргөн бодлоготой хамт ч хяналтад унадаг. Харилцагч баталгаажиж, зөвхөн зорилготой маршрут эсвэл нөөцийг авдаг эсэхийг баталгаажуулна уу. Ажигласнаа бичээрэй, профайл юу хийх ёстой байсныг биш.

Буруу шалтгаанаар ажилладаг профайл, жишээлбэл таарч байгаа нийтлэг нэр ба таних шалгалтгүй байх нь таны байна гэж бодсон хяналт арилсны дараа ч ажилласаар байх болно.