Delegați emiterea certificatelor VPN fără cheia rădăcină

A da cuiva capacitatea de a înrola clienți VPN și a-i da o copie portabilă a cheii rădăcină sunt două acte diferite, iar diferența devine vizibilă abia când acea persoană pleacă sau acea cheie se scurge. Prima acordă o operațiune într-un flux de lucru pe care îl controlați; a doua acordă capacitatea de a crea încredere oriunde, offline, la nesfârșit. Decideți de care are nevoie munca înainte de a atinge orice material de cheie. O diagramă de ierarhie nu vă va răspunde la această întrebare.

Scrieți sarcina de înrolare ca trei întrebări: cine poate solicita, cine aprobă și ce poate semna componenta emitentă.

Decideți ce capacitate acordați

Un serviciu emitent poate expune un flux de aprobare păstrând materialul de semnare la un proprietar separat. Un operator aprobă o cerere de dispozitiv, serviciul aplică politica și înregistrează emiterea, iar nimeni dintre cei implicați nu deține cheia CA. Documentați identitățile permise, aprobatorii și intervalul a ceea ce serviciul poate semna; apoi protejați-i administrarea la fel de atent ca cheia. O cerere de semnare a certificatului este o cerere, nu o decizie de autorizare.

Stocarea cu suport hardware schimbă riscul de copiere a cheii, nu nevoia de autorizare. Neexportabil înseamnă că cheia nu poate fi scoasă, și nu înseamnă că oricine poate apela interfața de semnare are dreptul la un certificat. Evaluați aceste două proprietăți separat.

Un intermediar limitează autoritatea

O rădăcină poate certifica un intermediar pentru emiterea zilnică, astfel încât munca de rutină nu mai atinge cheia rădăcină, atât timp cât procedurile proprii de semnare și recuperare ale rădăcinii rămân protejate. Este o graniță reală și nu este gratuită: încă un certificat, încă o cheie, încă o reînnoire și încă o listă de revocare de întreținut. Folosiți unul când reprezintă o graniță deliberată de management sau de risc. Crearea unui emitent pentru fiecare administrator produce mai mult din toate și nu cumpără nimic ce fluxul de lucru nu oferea deja.

Verificați că verificatorii VPN construiesc lanțul așa cum vă așteptați. Trimiterea unui intermediar pentru construirea lanțului și instalarea lui ca ancoră direct de încredere sunt aranjamente diferite.

pathLen zero nu înseamnă ce credeți

RFC 5280 secțiunea 4.2.1.9 definește constrângerile de bază, iar câmpul său de lungime a căii limitează câte certificate intermediare care nu sunt autoemise pot urma într-o cale validă. O valoare de zero restricționează adâncimea intermediară suplimentară; nu limitează numărul de certificate de entitate finală. Oamenii îl citesc ca zero certificate permise și apoi se întreabă de ce emiterea încă funcționează. Citiți câmpul ca o limită de adâncime pentru CA, iar comportamentul devine previzibil.

Aceeași secțiune implică faptul că o ancoră de încredere este o intrare în validarea căii, nu un certificat obișnuit în interiorul căii. De aceea publicarea unei intrări de revocare pentru o rădăcină auto-semnată nu o elimină în mod fiabil din fiecare depozit.

Plecarea nu este o compromitere a cheii

Când cel care pleacă deținea doar un cont personal de administrare, revocați acel acces și sesiunile sale prin procesul de identitate acceptat, apoi examinați activitatea și aprobările pe care le-a produs. Certificatele de client emise anterior nu devin invalide pentru că aprobatorul lor a plecat, iar tratarea lor ca fiind compromise creează o reînrolare mare și inutilă. Dezactivarea unui cont nu poate invalida nici o cheie de semnare copiată, așa că răspunsul depinde de capacitatea deținută.

Când un intermediar este compromis, autorizarea lui trebuie retrasă și fiecare identitate pentru care a garantat trebuie înlocuită, urmând politica pe care o aplică verificatorul. Încrederea în rădăcină are nevoie de propriul răspuns, pentru că ancora trăiește în depozite de încredere pe care s-ar putea să nu le controlați.

Acceptați proiectul cu patru cazuri concrete: un dispozitiv eligibil se înrolează, o cerere neaprobată este refuzată, un operator eliminat nu mai poate emite, iar un emitent retras nu mai acordă acces. Aceste patru rezultate sunt runbook-ul.