Deleger utstedelse av VPN-sertifikater uten rotnøkkelen

Å gi noen muligheten til å registrere VPN-klienter og gi dem en flyttbar kopi av rotnøkkelen er to forskjellige handlinger, og forskjellen blir først synlig når den personen slutter eller den nøkkelen lekker. Den første gir en operasjon i en arbeidsflyt du kontrollerer; den andre gir evnen til å skape tillit hvor som helst, frakoblet, på ubestemt tid. Bestem hvilken av dem jobben trenger før du berører noe nøkkelmateriale. Et hierarkidiagram vil ikke svare på det spørsmålet for deg.

Skriv ned registreringsoppgaven som tre spørsmål: hvem kan be om, hvem godkjenner, og hva den utstedende komponenten kan signere.

Bestem hvilken evne du gir

En utstedende tjeneste kan eksponere en godkjenningsarbeidsflyt mens signeringsmaterialet holdes hos en separat eier. En operatør godkjenner en enhetsforespørsel, tjenesten anvender policy og registrerer utstedelsen, og ingen involvert holder CA-nøkkelen. Dokumenter de tillatte identitetene, godkjennerne og omfanget av hva tjenesten kan signere; beskytt deretter administrasjonen like nøye som nøkkelen. En forespørsel om sertifikatsignering er en forespørsel, ikke en autorisasjonsbeslutning.

Maskinvarebasert lagring endrer risikoen for at nøkkelen kopieres, ikke behovet for autorisasjon. Ikke-eksporterbar betyr at nøkkelen ikke kan løftes ut, og det betyr ikke at enhver som kan kalle signeringsgrensesnittet har krav på et sertifikat. Vurder de to egenskapene hver for seg.

Et mellomliggende sertifikat begrenser myndigheten

En rot kan sertifisere et mellomliggende sertifikat for daglig utstedelse, slik at rutinearbeid ikke lenger berører rotnøkkelen, så lenge rotens egne signerings- og gjenopprettingsprosedyrer forblir beskyttet. Det er en reell grense, og den er ikke gratis: ett sertifikat til, én nøkkel til, én fornyelse til og én tilbakekallingsliste til å vedlikeholde. Bruk et når det representerer en bevisst styrings- eller risikogrense. Å opprette en utsteder per administrator produserer mer av alt og kjøper ingenting som arbeidsflyten ikke allerede ga.

Kontroller at VPN-verifisererne bygger kjeden slik du forventer. Å sende et mellomliggende sertifikat for kjedebygging og installere det som et direkte betrodd anker er forskjellige ordninger.

pathLen null betyr ikke det du tror

RFC 5280 avsnitt 4.2.1.9 definerer grunnleggende begrensninger, og sti-lengdefeltet begrenser hvor mange mellomliggende sertifikater som ikke er selvutstedt som kan følge i en gyldig sti. Verdien null begrenser videre mellomliggende dybde; den begrenser ikke antallet sluttenhetssertifikater. Folk leser det som null tillatte sertifikater og lurer deretter på hvorfor utstedelsen fortsatt virker. Les feltet som en dybdebegrensning for CA-er, og oppførselen blir forutsigbar.

Samme avsnitt antyder at et tillitsanker er et input til stivalidering snarere enn et vanlig sertifikat inne i stien. Derfor fjerner publisering av en tilbakekallingspost for en selvsignert rot den ikke pålitelig fra hvert lager.

Offboarding er ikke en nøkkelkompromittering

Der den som slutter bare hadde en personlig administrasjonskonto, tilbakekall den tilgangen og sesjonene gjennom den støttede identitetsprosessen, og gjennomgå deretter aktiviteten og godkjenningene den skapte. Tidligere utstedte klientsertifikater blir ikke ugyldige fordi godkjenneren deres sluttet, og å behandle dem som kompromitterte skaper en stor, unødvendig nyregistrering. Deaktivering av en konto kan heller ikke ugyldiggjøre en kopiert signeringsnøkkel, så svaret avhenger av hvilken evne som ble holdt.

Når et mellomliggende sertifikat er kompromittert, må autorisasjonen trekkes tilbake og hver identitet det gikk god for erstattes, etter den policyen verifisereren håndhever. Rotstillit trenger sitt eget svar, fordi ankeret lever i tillitslagre du kanskje ikke kontrollerer.

Aksepter designet med fire konkrete tilfeller: en kvalifisert enhet registrerer seg, en ikke-godkjent forespørsel avvises, en operatør som er fjernet kan ikke lenger utstede, og en utsteder som er pensjonert gir ikke lenger tilgang. De fire resultatene er runbooken.