CSR waħdu mhuwiex reġistrazzjoni: x'għandha tiċċekkja CA tal-VPN

Talba għall-firma ta' ċertifikat iġġorr muftieħ pubbliku u suġġett mitlub, iffirmati bil-muftieħ privat li jaqbel. Dik il-firma tipprova li min jagħmel it-talba għandu l-muftieħ. Ma tipprovax li għandu d-dritt għall-isem, għall-apparat jew għar-rwol tal-VPN li qed jitlob, u li tittratta t-talba bħallikieku tipprova dan huwa eżattament kif ticket tal-help desk isir għoti ta' aċċess.

Żewġ mudelli ta' reġistrazzjoni jixirqu tqabbil skont x'jorbu, mhux skont liema protokoll jitkellmu.

Talba tallega isem, ma tipprovahx

Aqra t-talba għal dak li tassew fiha: muftieħ pubbliku, suġġett li għażel min jagħmel it-talba, u firma tiegħu stess fuq it-tnejn. Xejn f'dik l-istruttura ma jirreferi għall-inventar tiegħek, għad-direttorju tal-kontijiet jew għall-fluss tal-approvazzjoni. Suġġett bħal cn=finance-laptop huwa string li xi ħadd ittajpja. Sakemm il-proċess tal-ħruġ ma jiċċekkjax dak l-string kontra rekord li jafda, iċ-ċertifikat huwa allega b'firma mehmuża. Dak id-distinzjoni huwa r-raġuni kollha għaliex jeżisti proċess ta' reġistrazzjoni.

Il-konsegwenza hija importanti operattivament. Awtorità taċ-ċertifikati qatt ma għandha bżonn il-muftieħ privat tal-klijent biex toħroġ ċertifikat, u fluss li jitlob wieħed ħallat il-firma mal-kustodja tal-muftieħ. Żomm il-ġenerazzjoni fuq il-punt tat-tmiem u ibgħat biss in-nofs pubbliku.

Qabbel il-mudelli skont x'jorbu

Il-firma manwali torbot dak li l-operatur jiftakar jiċċekkja. Servizz ta' reġistrazzjoni awtomatizzat jorbot talba awtentikata ma' deċiżjoni li s-servizz jista' jinfurza, u RFC 7030 jiddeskrivi disinn wieħed bħal dan fejn il-klijent jawtentika qabel ma jiġi rritornat ċertifikat. Id-differenza li tgħix awditu mhijiex l-awtomazzjoni; hija jekk il-verifika tal-identità sseħħx ġewwa l-mogħdija tal-ħruġ jew ħdejha.

Iż-żewġ mudelli xorta jridu jwieġbu l-istess tliet mistoqsijiet. Min qed jitlob, fuq liema apparat jew rwol, u għal kemm-il żmien. Sistema ta' tickets li tirrekordja t-tweġibiet tagħmel xogħol veru; ringiela fejn xi ħadd iħares lejn isem komuni ma tagħmilx, kemm jekk iċ-ċertifikat jiġi fformatjat bl-akbar reqqa wara.

Agħżel il-mudell skont l-għadd ta' reġistrazzjonijiet li tistenna u skont il-bdil tal-apparati. Ftit servers fis-sena jifilħu reviżjoni manwali b'lista ta' kontroll miktuba. Flotta ta' laptops ma tifilħx.

Irreġistra ċ-ċiklu tal-ħajja mill-ewwel ħruġ

Aħżen l-identifikatur taċ-ċertifikat, is-sid, l-użu maħsub, l-iskadenza u l-mogħdija tat-tneħħija fil-mument tal-ħruġ, mhux fl-ewwel inċident. L-użu maħsub għandu jkun fiċ-ċertifikat stess permezz ta' użu estiż tal-muftieħ, u r-rekord għandu jaqbel miegħu. Ċertifikat magħmul għall-awtentikazzjoni tal-klijent m'għandux ikun indistinguwibbli minn wieħed għal server.

Ippjana t-tiġdid u r-revoka ta' apparat mitluf qabel ma toħroġ l-għaxar profil. Ċertifikat maqsum mad-dipartiment kollu jibdel tneħħija mmirata fi tfixkil, u dik id-deċiżjoni tiswa ħafna inqas biex terġa' titqies issa milli waqt inċident ta' nhar il-Ġimgħa.

Iċċekkja ċ-ċertifikat maħruġ, imbagħad l-aċċess

Wara r-reġistrazzjoni, ispezzjona x'inħareġ u kkonferma li jingħaqad mal-awtorità li tistenna. Żewġ kmandi jkopru l-iżbalji komuni: ċertifikat bl-użu ħażin, u katina li taħdem biss għax il-klijent huwa kkonfigurat biex jinjora l-validazzjoni.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Imbagħad ipprova l-aċċess mhux l-artefatt. Iċ-ċertifikat jistabbilixxi l-identità, u l-politika xorta tiddeċiedi liema servizzi tista' tilħaq dik l-identità. Iċċekkja t-tnejn, għax artefatt korrett b'politika wiesgħa wisq xorta jonqos f'reviżjoni. Ikkonferma li l-klijent jawtentika u jirċievi biss ir-rotot jew ir-riżorsi maħsuba. Innota dak li osservajt, mhux dak li l-profil kellu jagħmel.

Profil li jaħdem għar-raġuni ħażina, bħal isem komuni li jaqbel u ebda verifika tal-identità, jibqa' jaħdem wara li titneħħa l-kontroll li kont taħseb li għandek.