मूल कुञ्जी बिना VPN प्रमाणपत्र जारी गर्ने जिम्मा दिनुहोस्

कसैलाई VPN क्लाइन्ट दर्ता गर्ने क्षमता दिनु र उसलाई मूल कुञ्जीको पोर्टेबल प्रतिलिपि दिनु दुई फरक कार्य हुन्, र भिन्नता त्यतिबेलामात्र देखिन्छ जब त्यो व्यक्ति जान्छ वा त्यो कुञ्जी चुहिन्छ। पहिलोले तपाईंले नियन्त्रण गर्ने कार्यप्रवाहभित्रको कार्य दिन्छ; दोस्रोले जहाँ पनि, अफलाइन, अनिश्चितकालसम्म विश्वास सिर्जना गर्ने क्षमता दिन्छ। कुनै पनि कुञ्जी सामग्री छुनुअघि कामलाई कुन चाहिन्छ भनेर निर्णय गर्नुहोस्। पदानुक्रम रेखाचित्रले त्यो प्रश्नको उत्तर तपाईंका लागि दिंदैन।

दर्ता कामलाई तीन प्रश्नको रूपमा लेख्नुहोस्: कसले अनुरोध गर्न सक्छ, कसले स्वीकृति दिन्छ, र जारी गर्ने घटकले केमा हस्ताक्षर गर्न सक्छ।

तपाईं कुन क्षमता दिइरहनुभएको छ त्यो निर्णय गर्नुहोस्

जारी गर्ने सेवाले स्वीकृति कार्यप्रवाह देखाउन सक्छ र हस्ताक्षर सामग्री अलग स्वामीकहाँ राख्न सक्छ। सञ्चालकले उपकरण अनुरोध स्वीकृत गर्छ, सेवाले नीति लागू गरेर जारी गरेको रेकर्ड गर्छ, र संलग्न कोही पनि CA कुञ्जी राख्दैन। स्वीकृत पहिचान, स्वीकृतकर्ता र सेवाले हस्ताक्षर गर्न सक्ने दायरा दस्तावेज गर्नुहोस्; तयपछि त्यसको प्रशासनलाई कुञ्जीजत्तै सावधानीपूर्वक सुरक्षित राख्नुहोस्। प्रमाणपत्र हस्ताक्षर अनुरोध अनुरोध हो, अधिकारको निर्णय होइन।

हार्डवेयर-समर्थित भण्डारण कुञ्जी प्रतिलिपि हुने जोखिम परिवर्तन गर्छ, अधिकारको आवश्यकता होइन। निर्यात गर्न नसकिने भन्नाले कुञ्जी बाहिर निकाल्न सकिंदैन भन्ने बुझिन्छ, र यसको अर्थ हस्ताक्षर इन्टरफेस कल गर्न सक्ने जो कोहीलाई प्रमाणपत्रको हक छ भन्ने होइन। यी दुई गुणको छुट्टाछुट्टै मूल्याङ्कन गर्नुहोस्।

मध्यस्थ प्रमाणपत्रले अधिकार सीमित गर्छ

मूलले दैनिक जारीका लागि मध्यस्थ प्रमाणपत्र प्रमाणित गर्न सक्छ, जसका कारण नियमित कामले अब मूल कुञ्जी छुँदैन, मूलको आफ्नै हस्ताक्षर र पुनःप्राप्ति प्रक्रिया सुरक्षित रहेसम्म। यो वास्तविक सीमा हो र यो निःशुल्क होइन: अर्को प्रमाणपत्र, अर्को कुञ्जी, अर्को नवीकरण र राख्नुपर्ने अर्को रद्द सूची। यसलाई जानाजानी गरिएको व्यवस्थापन वा जोखिम सीमा प्रतिनिधित्व गर्दा प्रयोग गर्नुहोस्। प्रत्येक प्रशासकका लागि जारीकर्ता बनाउँदा सबै कुराको बढी उत्पादन हुन्छ र कार्यप्रवाहले पहिले नदिएको केही किन्दैन।

VPN प्रमाणकहरूले श्रृङ्खला तपाईंले अपेक्षा गरेअनुसार बनाउन्छन् भनी जाँच्नुहोस्। श्रृङ्खला निर्माणका लागि मध्यस्थ प्रमाणपत्र पठाउनु र त्यसलाई सिधै विश्वसनीय एङ्करका रूपमा स्थापना गर्नु फरक व्यवस्था हुन्।

pathLen शून्य भन्नाले तपाईं सोचेको कुरा होइन

RFC 5280 खण्ड 4.2.1.9 ले आधारभूत अवरोध परिभाषित गर्छ, र यसको पथ-लम्बाई क्षेत्रले वैध पथमा कति आत्म-जारी नगरिएका मध्यस्थ प्रमाणपत्रहरू अनुसरण गर्न सकिन्छन् भनी सीमित गर्छ। शून्य मानले थप मध्यस्थ गहिराई सीमित गर्छ; यसले अन्तिम-इकाई प्रमाणपत्रको संख्या सीमित गर्दैन। मानिसहरूले यसलाई शून्य प्रमाणपत्र अनुमत भनी पढ्न्छन् र तयपछि जारी किन अझैपनि काम गर्छ भनी अचम्म मान्छन्। क्षेत्रलाई CA का लागि गहिराई सीमाका रूपमा पढ्नुहोस्, र व्यवहार अनुमानयोग्य हुन्छ।

त्यही खण्डले विश्वास ऐङ्कर पथ प्रमाणीकरणको इनपुट हो, पथभित्रको साधारण प्रमाणपत्र होइन भनी सङ्केत गर्छ। त्यसैले आत्म-हस्ताक्षरित मूलका लागि रद्द प्रविष्टि प्रकाशित गर्दा त्यो प्रत्येक भण्डारबाट विश्वसनीय रूपमा हट्दैन।

जागिर छोड्नु कुञ्जीको उल्लङ्घन होइन

जहाँ जाने व्यक्तिसँग व्यक्तिगत व्यवस्थापन खाता बाहेक केही थिएन, तयाँ त्यो पहुँच र त्यसका सत्रहरू समर्थित पहिचान प्रक्रियबाट रद्द गर्नुहोस्, तयपछि उसले सिर्जना गरेको गतिविधि र स्वीकृतिहरू समीक्षा गर्नुहोस्। पहिले जारी गरिएका क्लाइन्ट प्रमाणपत्रहरू तिनका स्वीकृतकर्ता गएकै कारण अवैध हुँदैनन्, र तिनलाई उल्लङ्घन मान्नु ठूलो, अनावश्यक पुनः दर्ता सिर्जना गर्छ। खाता अक्षम गर्दा पनि प्रतिलिपि गरिएको हस्ताक्षर कुञ्जी अवैध बनाउन सक्दैन, त्यसैले प्रतिक्रिया कुन क्षमता राखिएको थियो भन्नेमा निर्भर गर्छ।

जब मध्यस्थ प्रमाणपत्र उल्लङ्घनमा पर्छ, तयाँ त्यसको अधिकार फिर्ता लिनुपर्ने र यसले ग्यारेन्टी गरेको प्रत्येक पहिचान प्रतिस्थापन गर्नुपर्ने छ, प्रमाणकले लागू गर्ने नीतिअनुसार। मूल विश्वासलाई आफ्नै प्रतिक्रिया चाहिन्छ, किनकि ऐङ्कर तपाईंले नियन्त्रण नगर्न सक्ने विश्वास भण्डारमा बस्छ।

चार ठोस केससँग डिजाइन स्वीकार गर्नुहोस्: योग्य उपकरण दर्ता हुन्छ, स्वीकृत नगरिएको अनुरोध अस्वीकार गरिन्छ, हटाइएको सञ्चालकले अब जारी गर्न सक्दैन, र अवकाश प्राप्त जारीकर्ताले अब पहुँच दिँदैन। ती चार नतिजा नै रनबुक हुन्।