CSR semata-mata bukan pendaftaran: apa yang perlu diperiksa oleh CA VPN

Permintaan tandatangan sijil membawa kunci awam dan subjek yang diminta, ditandatangani dengan kunci peribadi yang sepadan. Tandatangan itu membuktikan pemohon memiliki kunci itu. Ia tidak membuktikan pemohon berhak atas nama, peranti atau peranan VPN yang diminta, dan memperlakukannya seolah-olah ia membuktikan perkara itu ialah cara tiket meja bantuan menjadi pemberian akses.

Dua model pendaftaran wajar dibandingkan dari segi apa yang mereka ikat, bukan dari segi protokol yang mereka tuturkan.

Permintaan mendakwa nama, ia tidak membuktikannya

Baca permintaan itu untuk apa yang sebenarnya terkandung di dalamnya: kunci awam, subjek yang dipilih pemohon, dan tandatangan sendiri atas kedua-duanya. Tiada apa-apa dalam struktur itu merujuk inventori, direktori akaun atau aliran kelulusan anda. Subjek seperti cn=finance-laptop ialah rentetan yang ditaip oleh seseorang. Sehingga proses pengeluaran menyemak rentetan itu terhadap rekod yang dipercayainya, sijil itu ialah dakwaan dengan tandatangan dilampirkan. Perbezaan itulah seluruh sebab proses pendaftaran wujud.

Akibatnya penting dari segi operasi. Pihak berkuasa sijil tidak pernah memerlukan kunci peribadi klien untuk mengeluarkan sijil, dan aliran yang memintanya telah mengelirukan tandatangan dengan penyimpanan kunci. Kekalkan penjanaan di hujung dan hantar separuh awam sahaja.

Bandingkan model dari segi apa yang mereka ikat

Tandatangan manual mengikat apa yang operator ingat untuk diperiksa. Perkhidmatan pendaftaran automatik mengikat permintaan yang disahkan kepada keputusan yang boleh dikuatkuasakan oleh perkhidmatan, dan RFC 7030 menerangkan satu reka bentuk sedemikian di mana klien mengesahkan dirinya sebelum sijil dikembalikan. Perbezaan yang bertahan dalam audit bukanlah automasi; iaitu sama ada pemeriksaan identiti berlaku di dalam laluan pengeluaran atau di sisinya.

Kedua-dua model masih perlu menjawab tiga soalan yang sama. Siapa yang meminta, pada peranti atau peranan mana, dan untuk berapa lama. Sistem tiket yang merekodkan jawapan melakukan kerja sebenar; barisan di mana seseorang merenung nama umum tidak, tidak kira betapa telitinya sijil diformatkan kemudian.

Pilih model berdasarkan bilangan pendaftaran yang anda jangkakan dan pusing ganti peranti. Beberapa pelayan setahun boleh bertahan semakan manual dengan senarai semak bertulis. Armada komputer riba tidak.

Catat kitaran hayat sejak pengeluaran pertama

Simpan pengecam sijil, pemilik, penggunaan yang dimaksudkan, tamat tempoh dan laluan penyingkiran pada saat pengeluaran, bukan pada insiden pertama. Penggunaan yang dimaksudkan sepatutnya berada dalam sijil itu sendiri melalui penggunaan kunci lanjutan, dan rekod itu harus bersetuju dengannya. Sijil yang dicipta untuk pengesahan klien tidak sepatutnya tidak dapat dibezakan daripada sijil untuk pelayan.

Rancang pembaharuan dan pembatalan peranti yang hilang sebelum anda mengeluarkan profil kesepuluh. Sijil yang dikongsi merentas jabatan mengubah penyingkiran bersasar menjadi gangguan, dan keputusan itu jauh lebih murah untuk diteliti semula sekarang daripada semasa insiden hari Jumaat.

Periksa sijil yang dikeluarkan, kemudian aksesnya

Selepas pendaftaran, periksa apa yang dikeluarkan dan sahkan ia berantai kepada pihak berkuasa yang anda jangkakan. Dua arahan merangkumi kesilapan biasa: sijil dengan penggunaan yang salah, dan rantaian yang hanya berfungsi kerana klien dikonfigurasikan untuk mengabaikan pengesahan.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Kemudian uji akses, bukan artifak. Sijil menetapkan identiti, dan dasar masih menentukan perkhidmatan mana yang boleh dicapai oleh identiti itu. Periksa kedua-duanya, kerana artifak yang betul dengan dasar yang terlalu luas juga gagal dalam semakan. Sahkan klien mengesahkan dirinya dan hanya menerima laluan atau sumber yang dimaksudkan. Catat apa yang anda perhatikan, bukan apa yang sepatutnya dilakukan oleh profil itu.

Profil yang berfungsi atas sebab yang salah, seperti nama umum yang sepadan dan tiada pemeriksaan identiti, akan terus berfungsi selepas kawalan yang anda sangka ada itu disingkirkan.