Deleguj wydawanie certyfikatów VPN bez klucza głównego

Dać komuś możliwość rejestrowania klientów VPN i dać mu przenośną kopię klucza głównego to dwie różne czynności, a różnica staje się widoczna dopiero wtedy, gdy ta osoba odejdzie albo ten klucz wycieknie. Pierwsza daje operację w ramach przepływu pracy, który kontrolujesz; druga daje zdolność tworzenia zaufania wszędzie, offline, bezterminowo. Zdecyduj, której potrzebuje zadanie, zanim dotkniesz jakiegokolwiek materiału klucza. Diagram hierarchii nie odpowie na to pytanie za ciebie.

Zapisz zadanie rejestracji jako trzy pytania: kto może zażądać, kto zatwierdza i co komponent wydający może podpisać.

Zdecyduj, jakie uprawnienie nadajesz

Usługa wydająca może udostępnić przepływ zatwierdzania, trzymając materiał podpisujący u odrębnego właściciela. Operator zatwierdza wniosek urządzenia, usługa stosuje politykę i rejestruje wydanie, a nikt z zaangażowanych nie ma klucza CA. Udokumentuj dozwolone tożsamości, zatwierdzających i zakres tego, co usługa może podpisać; następnie chroń jej administrację równie starannie jak klucz. Wniosek o podpisanie certyfikatu jest wnioskiem, a nie decyzją autoryzacyjną.

Przechowywanie wspierane sprzętowo zmienia ryzyko skopiowania klucza, a nie potrzebę autoryzacji. Nieeksportowalność oznacza, że klucza nie można wyjąć, i nie oznacza, że każdy, kto może wywołać interfejs podpisywania, ma prawo do certyfikatu. Oceń te dwie właściwości osobno.

Certyfikat pośredni ogranicza uprawnienia

Główny może certyfikować pośredni do codziennego wydawania, więc rutynowa praca nie dotyka już klucza głównego, o ile własne procedury podpisywania i odzyskiwania głównego pozostają chronione. To realna granica i nie jest darmowa: kolejny certyfikat, kolejny klucz, kolejne odnowienie i kolejna lista unieważnień do utrzymania. Używaj go, gdy reprezentuje świadomą granicę zarządzania lub ryzyka. Tworzenie wystawcy dla każdego administratora produkuje więcej wszystkiego i nie kupuje niczego, czego przepływ pracy już nie zapewniał.

Sprawdź, czy weryfikatory VPN budują łańcuch tak, jak się spodziewasz. Wysyłanie certyfikatu pośredniego do budowy łańcucha i instalowanie go jako bezpośrednio zaufanej kotwicy to różne rozwiązania.

pathLen zero nie znaczy tego, co myślisz

RFC 5280 sekcja 4.2.1.9 definiuje ograniczenia podstawowe, a jej pole długości ścieżki ogranicza, ile certyfikatów pośrednich niewydanych samemu sobie może następować w ważnej ścieżce. Wartość zero ogranicza dalszą głębokość pośrednią; nie ogranicza liczby certyfikatów jednostek końcowych. Ludzie czytają to jako zero dozwolonych certyfikatów i zastanawiają się, dlaczego wydawanie nadal działa. Czytaj pole jako ograniczenie głębokości dla CA, a zachowanie staje się przewidywalne.

Ta sama sekcja sugeruje, że kotwica zaufania jest wejściem walidacji ścieżki, a nie zwykłym certyfikatem wewnątrz ścieżki. Dlatego opublikowanie wpisu unieważnienia dla samopodpisanego głównego nie usuwa go niezawodnie z każdego magazynu.

Odejście z pracy nie jest kompromitacją klucza

Gdy odchodzący miał tylko osobiste konto administracyjne, odwołaj ten dostęp i jego sesje przez obsługiwany proces tożsamości, a następnie przejrzyj aktywność i zatwierdzenia, które utworzył. Wcześniej wydane certyfikaty klienta nie stają się nieważne dlatego, że ich zatwierdzający odszedł, a traktowanie ich jako skompromitowanych tworzy dużą, niepotrzebną ponowną rejestrację. Wyłączenie konta również nie może unieważnić skopiowanego klucza podpisującego, więc odpowiedź zależy od tego, jakie uprawnienie było posiadane.

Gdy certyfikat pośredni zostanie skompromitowany, jego autoryzacja musi zostać wycofana, a każda tożsamość, za którą ręczył, zastąpiona, zgodnie z polityką, którą egzekwuje weryfikator. Zaufanie główne wymaga własnej odpowiedzi, ponieważ kotwica żyje w magazynach zaufania, których możesz nie kontrolować.

Zaakceptuj projekt z czterema konkretnymi przypadkami: kwalifikowane urządzenie rejestruje się, niezatwierdzony wniosek jest odrzucany, usunięty operator nie może już wydawać, a wycofany wystawca nie udziela już dostępu. Te cztery wyniki to runbook.