Iddelega l-ħruġ ta' ċertifikati VPN mingħajr il-muftieħ tal-għerq

Li tagħti lil xi ħadd il-kapaċita li jirreġistra klijenti VPN u li tagħtih kopja portabbli tal-muftieħ tal-għerq huma żewġ atti differenti, u d-differenza ssir viżibbli biss meta dik il-persuna titlaq jew dak il-muftieħ jinfirex. L-ewwel jagħti operazzjoni fi ħdan fluss tax-xogħol li tikkontrolla int; it-tieni jagħti l-kapaċita li toħloq fiduċja kullimkien, offline, bla limitu. Iddeċiedi liema waħda teħtieġ ix-xogħol qabel ma tmiss xi materjal tal-muftieħ. Dijagramma tal-ġerarkija mhux se twieġeb dik id-domanda għalik.

Ikteb ix-xogħol tar-reġistrazzjoni bħala tliet mistoqsijiet: min jista' jitlob, min japprova, u x'jista' jiffirma l-komponent li joħroġ.

Iddeċiedi liema kapaċita qed tagħti

Servizz li joħroġ jista' jesponi fluss ta' approvazzjoni filwaqt li jżżomm il-materjal tal-firma għand sid separat. Operatur japprova talba għal apparat, is-servizz japplika l-politika u jirreġistra l-ħruġ, u ħadd mill-involuti ma jżżomm il-muftieħ CA. Iddokumenta l-identitajiet permessi, l-approvaturi u l-firxa ta' dak li s-servizz jista' jiffirma; imbagħad ipproteġi l-amministrazzjoni tiegħu bl-istess attenzjoni bħall-muftieħ. Talba għall-firma ta' ċertifikat hija talba, mhux deċiżjoni ta' awtorizzazzjoni.

Il-ħażna appoġġata mill-ħardwer tbiddel ir-riskju li l-muftieħ jiġi kkopjat, mhux il-ħtieġa ta' awtorizzazzjoni. Mhux esportabbli jfisser li l-muftieħ ma jistax jinħareġ, u ma jfissirx li kull min jista' jsejjaħ l-interface tal-firma għandu dritt għal ċertifikat. Evalwa dawn iż-żewġ proprjetajiet separatament.

Ċertifikat intermedju jillimita l-awtorità

Għerq jista' jiċċertifika intermedju għall-ħruġ ta' kuljum, sabiex ix-xogħol ta' rutina ma jmissx aktar il-muftieħ tal-għerq, sakemm il-proċeduri tal-firma u tal-irkupru tal-għerq stess jibqgħu protetti. Dak huwa fruntiera vera u mhijiex b'xejn: ċertifikat ieħor, muftieħ ieħor, tiġdid ieħor u lista oħra ta' revoka x'tmantni. Uża wieħed meta jirrappreżenta fruntiera deliberata ta' ġestjoni jew ta' riskju. Il-ħolqien ta' emittent għal kull amministratur jipproduċi aktar minn kollox u ma jixtrix xejn li l-fluss tax-xogħol ma kienx diġà jipprovdi.

Ivverifika li l-verifikaturi VPN jibnu l-katina kif tistenna. Li tibgħat intermedju għall-bini tal-katina u li tinstallah bħala ankra direttament fdati huma arranġamenti differenti.

pathLen żero ma jfissirx dak li taħseb

RFC 5280 sezzjoni 4.2.1.9 tiddefinixxi l-kostrizzjonijiet bażiċi, u l-qasam tat-tul tal-passaġġ tagħha jillimita kemm ċertifikati intermedji li ma nħarġux lilhom infushom jistgħu jsegwu fi passaġġ validu. Valur ta' żero jirrestrinġi aktar fond intermedju; ma jillimitax l-għadd ta' ċertifikati tal-entità aħħarija. In-nies jaqrawh bħala żero ċertifikati permessi u mbagħad jistaqsu għaliex il-ħruġ għadu jaħdem. Aqra l-qasam bħala limitu tal-fond għas-CAs, u l-imġiba ssir prevedibbli.

L-istess sezzjoni timplika li ankra ta' fiduċja hija input għall-validazzjoni tal-passaġġ u mhux ċertifikat ordinarju ġewwa l-passaġġ. Huwa għalhekk li l-pubblikazzjoni ta' entrata ta' revoka għal għerq awtofirmat ma tneħħihx b'mod affidabbli minn kull maħżen.

It-tluq mix-xogħol mhuwiex kompromess tal-muftieħ

Fejn min jitlaq ma kellu xejn ħlief kont personali ta' ġestjoni, irrevoka dak l-aċċess u s-sessjonijiet tiegħu permezz tal-proċess tal-identità appoġġat, imbagħad reġa' eżamina l-attività u l-approvazzjonijiet li pproduċa. Iċ-ċertifikati tal-klijent maħruġa qabel ma jsirux invalidi għax l-approvatur tagħhom telaq, u t-trattament tagħhom bħala kompromessi joħloq reġistrazzjoni mill-ġdid kbira u bla bżonn. Id-diżattivazzjoni ta' kont ma tistax ukoll tinvalida muftieħ tal-firma kkopjat, għalhekk it-tweġiba tiddependi minn liema kapaċita kienet miżmuma.

Meta intermedju jiġi kompromess, l-awtorizzazzjoni tiegħu trid tiġi rtirata u kull identità li kien jiggarantixxi għaliha trid tiġi sostitwita, skont il-politika li tinforza l-verifikatur. Il-fiduċja tal-għerq teħtieġ tweġiba tagħha stess, għax l-ankra tgħix f'maħżen ta' fiduċja li forsi ma tikkontrollax.

Aċċetta d-disinn b'erba' każijiet konkreti: apparat eliġibbli jirreġistra, talba mhux approvata tiġi rrifjutata, operatur li tneħħa ma jistax aktar joħroġ, u emittent li rtira ma jagħtix aktar aċċess. Dawk l-erba' riżultati huma r-runbook.