Ein CSR åleine er ikkje registrering: kva ein VPN-CA må kontrollere

Ein førespurnad om sertifikatsignering inneheld ein offentleg nøkkel og eit ønskt subject, signert med den tilhøyrande private nøkkelen. Den signaturen beviser at førespurnaden kjem frå nokon som har nøkkelen. Han beviser ikkje at førespurnadsstillaren har rett til namnet, eininga eller VPN-rolla som det blir spurt om, og å handsame førespurnaden som om han gjorde det, er nettopp korleis ein helpdesk-billett blir ei tilgangstildeling.

To registreringsmodellar er verd å samanlikne etter kva dei bind, ikkje etter kva protokoll dei snakkar.

Ein førespurnad hevdar eit namn, han beviser det ikkje

Les førespurnaden for det han faktisk inneheld: ein offentleg nøkkel, eit subject førespurnadsstillaren har valt, og ein sjølvsignatur over begge. Ingenting i den strukturen viser til inventaret ditt, kontokatalogen eller godkjenningsflyten. Eit subject som cn=finance-laptop er ein streng nokon har skrive inn. Inntil utstedingsprosessen kontrollerer den strengen mot ein post han stolar på, er sertifikatet ein påstand med ein signatur vedlagt. Den skilnaden er heile grunnen til at ein registreringsprosess finst.

Konsekvensen er operativt viktig. Ein sertifiseringsstyresmakt treng aldri den private nøkkelen til klienten for å utstede eit sertifikat, og ein flyt som ber om ein, har blanda saman signering med nøkkellagring. Hald genereringa på endepunktet og send berre den offentlege halvdelen.

Samanlikn modellane etter kva dei bind

Manuell signering bind det operatøren hugsar å kontrollere. Ein automatisert registreringsteneste bind ein autentisert førespurnad til ei avgjerd tenesta kan handheve, og RFC 7030 skildrar eit slikt design der klienten autentiserer før eit sertifikat blir returnert. Skilnaden som overlever ein revisjon, er ikkje automatisering; det er om identitetskontrollen skjer inne i utstedingsløypa eller ved sida av.

Begge modellane må framleis svare på dei same tre spørsmåla. Kven spør, på kva eining eller rolle, og kor lenge. Eit saksystem som registrerer svara, gjer ekte arbeid; ein kø der nokon stirer på eit vanleg namn, gjer det ikkje, uansett kor nøye sertifikatet blir formatert seinare.

Vel modellen etter talet på registreringar du ventar og etter utskiftinga av einingar. Nokre få tenarar i året toler manuell gjennomgang med ei skriftleg sjekkliste. Ein flåte med berbare gjer det ikkje.

Registrer livssyklusen frå første utsteding

Lagre identifikatoren til sertifikatet, eigaren, tiltenkt bruk, utløp og fjerningsveg i det augneblunken det blir utstedt, ikkje ved den første hendinga. Tiltenkt bruk høyrer heime i sertifikatet sjølv gjennom utvida nøkkelbruk, og posten skal stemme med det. Eit sertifikat laga for klientautentisering bør ikkje vere umogleg å skilje frå eit for ein tenar.

Planlegg fornying og tilbakekalling av tapt eining før de utsteder den tiande profilen. Eit sertifikat som blir delt på tvers av ei avdeling, gjer ei målretta fjerning til eit avbrot, og den avgjerda er mykje billegare å ta opp no enn under ei fredagshending.

Kontroller det utstedte sertifikatet, deretter tilgangen

Etter registreringa, undersøk kva som vart utstedt, og stadfest at det kjedar til styresmakta de ventar. To kommandoar dekkjer dei vanlege feila: eit sertifikat med feil bruk, og ei kjede som berre verkar fordi klienten er konfigurert til å ignorere validering.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Test deretter tilgangen i staden for artefakten. Eit sertifikat fastslår identitet, og policyen avgjer framleis kva tenester den identiteten kan nå. Kontroller begge, fordi ein korrekt artefakt med ein altfor brei policy framleis ikkje består ein revisjon. Stadfest at klienten autentiserer og berre mottar dei tiltenkte rutene eller ressursane. Noter det de observerte, ikkje det profilen skulle gjere.

Ein profil som verkar av feil grunn, til dømes eit samsvarande vanleg namn og ingen identitetskontroll, vil halde fram med å verke etter at kontrollen de trudde de hadde, er fjerna.