Delegar a emissão de certificados VPN sem a chave raiz

Dar a alguém a capacidade de inscrever clientes VPN e dar-lhe uma cópia portátil da chave raiz são atos diferentes, e a diferença só se torna visível quando essa pessoa sai ou essa chave vaza. O primeiro concede uma operação dentro de um fluxo de trabalho que você controla; o segundo concede a capacidade de cunhar confiança em qualquer lugar, offline, indefinidamente. Decida qual dos dois o trabalho exige antes de tocar em qualquer material de chave. Um diagrama de hierarquia não responderá a essa pergunta por você.

Escreva a tarefa de inscrição como três perguntas: quem pode solicitar, quem aprova e o que o componente emissor pode assinar.

Decida qual capacidade está a conceder

Um serviço emissor pode expor um fluxo de aprovação mantendo o material de assinatura com um proprietário separado. Um operador aprova um pedido de dispositivo, o serviço aplica a política e registra a emissão, e ninguém envolvido detém a chave de CA. Documente as identidades permitidas, os aprovadores e o alcance do que o serviço pode assinar; depois proteja a sua administração com o mesmo cuidado que a chave. Um pedido de assinatura de certificado é um pedido, não uma decisão de autorização.

O armazenamento com suporte de hardware altera o risco de copiar a chave, não a necessidade de autorização. Não exportável significa que a chave não pode ser retirada, e não significa que qualquer pessoa capaz de chamar a interface de assinatura tenha direito a um certificado. Avalie essas duas propriedades separadamente.

Um intermediário limita a autoridade

Uma raiz pode certificar um intermediário para a emissão diária, de modo que o trabalho rotineiro já não toca na chave raiz, desde que os procedimentos de assinatura e recuperação da própria raiz permaneçam protegidos. É uma fronteira real e não é gratuita: outro certificado, outra chave, outra renovação e outra lista de revogação para manter. Use um quando representar uma fronteira deliberada de gestão ou de risco. Criar um emissor por administrador produz mais de tudo e não compra nada que o fluxo de trabalho já não oferecesse.

Verifique que os verificadores de VPN constroem a cadeia como espera. Enviar um intermediário para construção da cadeia e instalá-lo como âncora diretamente confiável são disposições diferentes.

pathLen zero não significa o que pensa

A RFC 5280 secção 4.2.1.9 define as restrições básicas, e o seu campo de comprimento de caminho limita quantos certificados intermediários não emitidos por si mesmos podem seguir num caminho válido. Um valor de zero restringe mais profundidade intermédia; não limita o número de certificados de entidade final. As pessoas leem-no como zero certificados permitidos e depois perguntam-se por que a emissão ainda funciona. Leia o campo como um limite de profundidade para as CA, e o comportamento torna-se previsível.

A mesma secção implica que uma âncora de confiança é uma entrada na validação de caminho, não um certificado comum dentro do caminho. Por isso publicar uma entrada de revogação para uma raiz autoassinada não a remove de forma fiável de todos os armazenamentos.

A saída não é um compromisso da chave

Quando a pessoa que sai detinha apenas uma conta pessoal de gestão, revogue esse acesso e as suas sessões através do processo de identidade suportado, e depois reveja a atividade e as aprovações que produziu. Os certificados de cliente emitidos anteriormente não se tornam inválidos porque o seu aprovador saiu, e tratá-los como comprometidos cria uma reinscrição grande e desnecessária. Desativar uma conta também não pode invalidar uma chave de assinatura copiada, pelo que a resposta depende de qual capacidade era detida.

Quando um intermediário é comprometido, a sua autorização tem de ser retirada e cada identidade que garantiu substituída, seguindo a política que o verificador aplica. A confiança da raiz precisa da sua própria resposta, porque a âncora vive em armazenamentos de confiança que pode não controlar.

Aceite o desenho com quatro casos concretos: um dispositivo elegível inscreve-se, um pedido não aprovado é recusado, um operador removido já não pode emitir, e um emissor retirado já não concede acesso. Esses quatro resultados são o runbook.