Delegasikan pengeluaran sijil VPN tanpa kunci akar

Memberi seseorang keupayaan untuk mendaftar klien VPN dan memberinya salinan mudah alih kunci akar ialah dua tindakan berbeza, dan perbezaannya hanya kelihatan apabila orang itu pergi atau kunci itu bocor. Yang pertama memberi operasi dalam aliran kerja yang anda kawal; yang kedua memberi keupayaan mencipta kepercayaan di mana-mana, luar talian, selama-lamanya. Tentukan yang mana diperlukan oleh kerja sebelum menyentuh sebarang bahan kunci. Rajah hierarki tidak akan menjawab soalan itu untuk anda.

Tuliskan kerja pendaftaran sebagai tiga soalan: siapa boleh meminta, siapa meluluskan, dan apa yang komponen pengeluar boleh tandatangan.

Tentukan keupayaan yang anda berikan

Perkhidmatan pengeluar boleh mendedahkan aliran kerja kelulusan sambil menyimpan bahan tandatangan pada pemilik berasingan. Pengendali meluluskan permintaan peranti, perkhidmatan menggunakan dasar dan merekod pengeluaran, dan tiada siapa yang terlibat memegang kunci CA. Dokumenkan identiti yang dibenarkan, pelulus dan skop apa yang perkhidmatan boleh tandatangan; kemudian lindungi pentadbirannya sepenuh berhati-hati seperti kunci. Permintaan tandatangan sijil ialah permintaan, bukan keputusan kebenaran.

Storan yang disokong perkakasan mengubah risiko kunci disalin, bukan keperluan kebenaran. Tidak boleh dieksport bermakna kunci tidak boleh dikeluarkan, dan ia tidak bermakna sesiapa yang boleh memanggil antara muka tandatangan berhak mendapat sijil. Nilai kedua-dua sifat itu secara berasingan.

Sijil perantaraan mengehadkan kuasa

Akar boleh memperakui perantaraan untuk pengeluaran harian, jadi kerja rutin tidak lagi menyentuh kunci akar, selagi prosedur tandatangan dan pemulihan akar itu sendiri kekal dilindungi. Itu sempadan sebenar dan ia tidak percuma: satu lagi sijil, satu lagi kunci, satu lagi pembaharuan dan satu lagi senarai pembatalan untuk diselenggara. Gunakan satu apabila ia mewakili sempadan pengurusan atau risiko yang disengajakan. Mencipta pengeluar bagi setiap pentadbir menghasilkan lebih banyak segala-galanya dan tidak membeli apa-apa yang aliran kerja belum sediakan.

Periksa bahawa pengesah VPN membina rantaian seperti yang anda jangkakan. Menghantar perantaraan untuk pembinaan rantaian dan memasangnya sebagai sauh yang dipercayai secara langsung ialah dua susunan berbeza.

pathLen sifar tidak bermaksud apa yang anda fikirkan

RFC 5280 bahagian 4.2.1.9 mentakrifkan kekangan asas, dan medan panjang laluannya mengehadkan berapa banyak sijil perantaraan yang tidak diterbitkan sendiri boleh menyusul dalam laluan yang sah. Nilai sifar mengehadkan kedalaman perantaraan selanjutnya; ia tidak mengehadkan bilangan sijil entiti akhir. Orang membacanya sebagai sifar sijil dibenarkan dan kemudian tertanya-tanya mengapa pengeluaran masih berfungsi. Baca medan itu sebagai had kedalaman pada CA, dan tingkah laku menjadi boleh diramal.

Bahagian yang sama menunjukkan bahawa sauh kepercayaan ialah input kepada pengesahan laluan, bukan sijil biasa di dalam laluan. Itulah sebabnya menerbitkan entri pembatalan untuk akar yang ditandatangani sendiri tidak mengalihkannya secara boleh dipercayai daripada setiap stor.

Berhenti kerja bukan kompromi kunci

Apabila yang pergi hanya memegang akaun pengurusan peribadi, batalkan akses itu dan sesinya melalui proses identiti yang disokong, kemudian semak aktiviti dan kelulusan yang dihasilkannya. Sijil klien yang dikeluarkan sebelum ini tidak menjadi tidak sah kerana pelulusnya pergi, dan menganggapnya sebagai kompromi mencipta pendaftaran semula yang besar dan tidak perlu. Menyahdayakan akaun juga tidak boleh membatalkan kunci tandatangan yang disalin, jadi respons bergantung pada keupayaan yang dipegang.

Apabila perantaraan dikompromi, kebenarannya mesti ditarik balik dan setiap identiti yang dijaminnya diganti, mengikut dasar yang dikuatkuasakan oleh pengesah. Kepercayaan akar memerlukan responsnya sendiri, kerana sauh itu hidup dalam stor kepercayaan yang mungkin tidak anda kawal.

Terima reka bentuk dengan empat kes konkrit: peranti yang layak mendaftar, permintaan yang tidak diluluskan ditolak, pengendali yang dibuang tidak lagi boleh mengeluarkan, dan pengeluar yang bersara tidak lagi memberi akses. Empat hasil itu ialah runbook.