Een CSR alleen is geen inschrijving: wat een VPN-CA moet controleren

Een certificaatondertekeningsverzoek bevat een openbare sleutel en een gevraagd subject, ondertekend met de bijbehorende privésleutel. Die handtekening bewijst dat de aanvrager de sleutel bezit. Ze bewijst niet dat de aanvrager recht heeft op de naam, het apparaat of de VPN-rol die wordt gevraagd, en het verzoek behandelen alsof dat wel zo is, is precies hoe een helpdeskticket een toegangsverlening wordt.

Twee inschrijvingsmodellen zijn de moeite waard om te vergelijken op wat ze binden, niet op welk protocol ze spreken.

Een verzoek beweert een naam, het bewijst hem niet

Lees het verzoek voor wat er werkelijk in staat: een openbare sleutel, een door de aanvrager gekozen subject en een zelfondertekening over beide. Niets in die structuur verwijst naar uw inventaris, uw accountmap of uw goedkeuringsproces. Een subject als cn=finance-laptop is een tekenreeks die iemand heeft getypt. Totdat het uitgifteproces die tekenreeks controleert tegen een record dat het vertrouwt, is het certificaat een bewering met een handtekening eraan. Dat onderscheid is de hele reden dat een inschrijvingsproces bestaat.

Het gevolg is operationeel belangrijk. Een certificaatautoriteit heeft nooit de privésleutel van de klant nodig om een certificaat uit te geven, en een proces dat erom vraagt heeft ondertekenen met sleutelbewaring verward. Houd het genereren op het eindpunt en stuur alleen de openbare helft.

Vergelijk de modellen op wat ze binden

Handmatig ondertekenen bindt wat de operator denkt te moeten controleren. Een geautomatiseerde inschrijvingsdienst bindt een geauthenticeerd verzoek aan een beslissing die de dienst kan afdwingen, en RFC 7030 beschrijft een dergelijk ontwerp waarbij de client zich authenticeert voordat een certificaat wordt teruggegeven. Het verschil dat een audit overleeft is niet automatisering; het is of de identiteitscontrole binnen het uitgiftepad plaatsvindt of ernaast.

Beide modellen moeten nog steeds dezelfde drie vragen beantwoorden. Wie vraagt, op welk apparaat of welke rol, en voor hoe lang. Een ticketsysteem dat de antwoorden vastlegt, doet echt werk; een rij waarin iemand naar een algemene naam staart niet, hoe zorgvuldig het certificaat later ook wordt opgemaakt.

Kies het model op basis van het aantal inschrijvingen dat u verwacht en de doorloop van apparaten. Een handvol servers per jaar overleeft een handmatige beoordeling met een schriftelijke checklist. Een vloot laptops niet.

Leg de levenscyclus vast vanaf de eerste uitgifte

Leg de identificatie van het certificaat, de eigenaar, het beoogde gebruik, de vervaldatum en het verwijderpad vast op het moment van uitgifte, niet bij het eerste incident. Het beoogde gebruik hoort via een uitgebreid sleutelgebruik in het certificaat zelf, en het record moet daarmee overeenkomen. Een certificaat dat voor clientauthenticatie is gemaakt, mag niet niet te onderscheiden zijn van een voor een server.

Plan verlenging en intrekking van een verloren apparaat voordat u het tiende profiel uitgeeft. Een certificaat dat over een afdeling wordt gedeeld, maakt van een gerichte verwijdering een storing, en die beslissing is nu veel goedkoper te heroverwegen dan tijdens een storing op vrijdag.

Controleer het uitgegeven certificaat, daarna de toegang

Controleer na de inschrijving wat is uitgegeven en bevestig dat het aansluit bij de autoriteit die u verwacht. Twee opdrachten dekken de gangbare fouten: een certificaat met het verkeerde gebruik, en een keten die alleen werkt omdat de client is geconfigureerd om validatie te negeren.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Test daarna de toegang in plaats van het artefact. Een certificaat stelt identiteit vast, en het beleid bepaalt nog steeds welke diensten die identiteit mag bereiken. Controleer beide, want een correct artefact met een te ruim beleid slaagt ook niet voor een beoordeling. Bevestig dat de client zich authenticeert en alleen de beoogde routes of bronnen ontvangt. Noteer wat u heeft waargenomen, niet wat het profiel zou moeten doen.

Een profiel dat om de verkeerde reden werkt, zoals een overeenkomende algemene naam en geen identiteitscontrole, blijft werken nadat de controle waarvan u dacht dat u die had, is verwijderd.