Ċertifikat għal sit biss permezz tal-VPN: DNS-01 jew CA privata?

Tliet kundizzjonijiet jiddeterminaw kif sit tal-web li jintlaħaq biss permezz tal-VPN għandu jikseb iċ-ċertifikat tiegħu: jekk tikkontrollax żona DNS pubblika, jekk l-isem tal-host jistax jidher fil-logs pubbliċi, u jekk jistax jingħata ankra ta’ fiduċja privata lil kull klijent. It-triq pubblika u dik privata t-tnejn jipproduċu kuxxinett tas-sigurtà li jaħdem u jwieġbu mistoqsijiet differenti. Li tagħżel waħda mingħajr ma tissetilja dawn il-kundizzjonijiet huwa kif sit jispiċċa b’ċertifikat pubbliku li ma riedx, jew b’wieħed intern li nofs il-klijenti jirrifjutaw.

Iċ-ċertifikat jipprova l-isem; il-VPN u d-DNS intern jipprovdu t-triq.

Żewġ toroq lejn isem affidabbli

Ħarriġ pubbliku b’validazzjoni DNS-01 jipprova l-kontroll ta’ isem permezz ta’ rekord TXT f’żona li tikkontrolla, sabiex is-servizz tal-web qatt ma jkollu jaċċetta konnessjoni HTTP pubblika. CA privata toħroġ ċertifikati tal-werqa għal ismijiet interni u tqassam l-ankra ta’ fiduċja tagħha permezz tal-ġestjoni tal-apparati, sabiex ebda log pubbliku ma jsir jaf bl-isem. It-tnejn huma leġittimi, u l-għażla ġejja minn dawk it-tliet kundizzjonijiet u mhux mill-kumdità. Ebda triq ma tipprovdi r-rotta jew id-daħla tar-resolver li klijent jeħtieġ.

Ċertifikat pubbliku jippubblika wkoll l-isem tal-host fil-logs tat-trasparenza taċ-ċertifikati. Jekk l-isem innifsu huwa sensittiv, dak l-iżvelar huwa deċiżjoni tad-disinn u mhux effett sekondarju li tiskopri aktar tard.

DNS-01 mingħajr ma tesponi s-servizz

Ir-rekord tal-isfida huwa daħla TXT taħt prefiss riservat fiż-żona, u l-ħarriġ jaqrah mid-DNS awtorevoli. Agħżel klijent ACME u integrazzjoni DNS li jistgħu joħolqu u jneħħu dak ir-rekord, u awtorizza l-aġġornament b’mod dejjaq: kredenzjali API b’ambitu għaż-żona, jew host ikkontrollat li jintuża biss għall-validazzjoni. Li tagħti lis-server tal-applikazzjoni kredenzjali tar-reġistratur mingħajr restrizzjoni biex iġġedded ċertifikat wieħed huwa ħafna aktar awtorità milli teħtieġ il-kompitu. Meta diversi ordnijiet jaqsmu isem, żomm il-valuri TXT tagħhom separati sabiex it-tindif ta’ wieħed ma jneħħix valur li ieħor għadu jeħtieġ.

Stenna l-propagazzjoni b’verifika kontra s-servers awtorevoli minflok stennija fissa. L-imġiba tal-propagazzjoni tiddependi mill-fornitur, u stennija li taħdem illum mhix prova dwar għada.

Klijenti mmaniġġjati u ismijiet privati b’mod intenzjonat

Apparati mmaniġġjati u ismijiet privati b’mod intenzjonat jaqblu tajjeb ma’ CA interna. Qassam il-ħarriġ affidabbli permezz tal-ġestjoni tal-apparati, imbagħad oħroġ ċertifikati tal-werqa għall-ismijiet maħsuba. Iċċekkja liema maħżen kull klijent fil-fatt juża, għax importazzjoni waħda fis-sistema operattiva mhix dikjarazzjoni universali dwar kull browser u applikazzjoni. It-twaħħil tal-werqa hija għażla oħra fejn hija appoġġjata b’mod espliċitu, bi prezz ta’ aġġornament ieħor tal-fiduċja kull darba li l-werqa tinbidel.

Il-kanal tad-distribuzzjoni huwa importanti daqs iċ-ċavetta: għerq li ħadd ma jinstalla ma jipproteġi xejn.

It-tiġdid huwa parti mid-disinn

Liema triq tagħżel, it-tiġdid jeħtieġ sid u proċedura. Li tiffreska l-prova tal-validazzjoni, tinstalla l-materjal il-ġdid u terġa’ tgħabbi l-listeners permezz tal-mekkaniżmu appoġġjat tiegħu huma tliet passi separati, u l-ewwel wieħed biss jiġi awtomatizzat mill-biċċa l-kbira tal-klijenti ACME. Ċertifikat li jiġġedded b’mod korrett iżda qatt ma jitgħabba jipproduċi l-istess waqfa bħal wieħed li skada.

Iċ-ċertifikat ma jinstallax ir-rotta tal-VPN u ma joħloqx ir-rekord DNS intern. Il-klijenti għadhom jeħtieġu resolver li jimmappa l-isem għall-indirizz privat u rotta biex jilħquh. Ipprova s-sit bl-isem minn klijent li għandu t-tnejn.

Irreġistra l-ħarriġ, il-metodu tal-validazzjoni, il-kanal tad-distribuzzjoni tal-fiduċja u l-mekkaniżmu tat-tagħbija mill-ġdid. Dawk l-erbgħa huma l-pjan tat-tiġdid.