Deleger utgiving av VPN-sertifikat utan rotnøkkelen

Å gje nokon moglegheita til å registrere VPN-klientar og gje dei ein flyttbar kopi av rotnøkkelen er to ulike handlingar, og skilnaden blir først synleg når den personen sluttar eller den nøkkelen lek. Den første gjev ein operasjon i ein arbeidsflyt du kontrollerer; den andre gjev evna til å skape tillit kvar som helst, fråkopla, på ubestemt tid. Avgjer kva av dei jobben treng før du rører noko nøkkelmateriale. Eit hierarkidiagram vil ikkje svare på det spørsmålet for deg.

Skriv ned registreringsoppgåva som tre spørsmål: kven kan be om, kven godkjenner, og kva den utgivande komponenten kan signere.

Avgjer kva evne du gjev

Ein utgivande teneste kan eksponere ein godkjenningsarbeidsflyt medan signeringsmaterialet blir halde hos ein separat eigar. Ein operatør godkjenner ein einingførespurnad, tenesta nyttar policy og registrerer utgivinga, og ingen involvert held CA-nøkkelen. Dokumenter dei tillatne identitetane, godkjennerane og omfanget av kva tenesta kan signere; vern deretter administrasjonen like nøye som nøkkelen. Ein førespurnad om sertifikatsignering er ein førespurnad, ikkje ei autorisasjonsavgjerd.

Maskinvarebasert lagring endrar risikoen for at nøkkelen blir kopiert, ikkje behovet for autorisasjon. Ikkje-eksporterbar tyder at nøkkelen ikkje kan løftast ut, og det tyder ikkje at kven som helst som kan kalle signeringsgrensesnittet har krav på eit sertifikat. Vurder dei to eigenskapane kvar for seg.

Eit mellomliggjande sertifikat avgrensar myndet

Ein rot kan sertifisere eit mellomliggjande sertifikat for dagleg utgiving, slik at rutinearbeid ikkje lenger rører rotnøkkelen, så lenge rotas eigne signerings- og attopprettingsprosedyrar blir vernda. Det er ei reell grense, og ho er ikkje gratis: eitt sertifikat til, ein nøkkel til, ei fornying til og ei tilbakekallingsliste til å vedlikehalde. Bruk eitt når det representerer ei medviten styrings- eller risikogrense. Å opprette ein utgivar per administrator produserer meir av alt og kjøper ingenting som arbeidsflyten ikkje alt gav.

Kontroller at VPN-verifiserarane byggjer kjeda slik du ventar. Å sende eit mellomliggjande sertifikat for kjedebygging og installere det som eit direkte betrodd anker er ulike ordningar.

pathLen null tyder ikkje det du trur

RFC 5280 avsnitt 4.2.1.9 definerer dei grunnleggjande avgrensingane, og sti-lengdefeltet avgrensar kor mange mellomliggjande sertifikat som ikkje er sjølvutgjevne som kan følgje i ein gyldig sti. Verdien null avgrensar vidare mellomliggjande djupn; han avgrensar ikkje talet på slutteining-sertifikat. Folk les det som null tillatne sertifikat og lurer deretter på kvifor utgivinga framleis verkar. Les feltet som ei djupnbegrensing for CA-ar, og åtferda blir føreseieleg.

Same avsnitt tyder på at eit tillitsanker er eit input til stivalidering snarare enn eit vanleg sertifikat inne i stien. Difor fjernar publisering av ein tilbakekallingspost for ei sjølvsignert rot henne ikkje påliteleg frå kvart lager.

Offboarding er ikkje ei nøkkelkompromittering

Der den som sluttar berre hadde ein personleg administrasjonskonto, trekk tilbake den tilgangen og sesjonane gjennom den støtta identitetsprosessen, og gå deretter gjennom aktiviteten og godkjenningane han skapte. Tidlegare utgivne klientsertifikat blir ikkje ugyldige fordi godkjennaren deira slutta, og å behandle dei som kompromitterte skaper ein stor, unødvendig nyregistrering. Deaktivering av ein konto kan heller ikkje ugyldiggjere ein kopiert signeringsnøkkel, så svaret avheng av kva evne som vart halden.

Når eit mellomliggjande sertifikat er kompromittert, må autorisasjonen trekkjast tilbake og kvar identitet det gjekk god for erstattast, etter den policyen verifiseraren handhevar. Rotstillit treng sitt eige svar, fordi ankeret lever i tillitslager du kanskje ikkje kontrollerer.

Godta designet med fire konkrete tilfelle: ei kvalifisert eining registrerer seg, ein ikkje-godkjend førespurnad blir avvist, ein operatør som er fjerna kan ikkje lenger gje ut, og ein utgivar som er pensjonert gjev ikkje lenger tilgang. Dei fire resultata er runbooken.