Un CSR singur nu este înscriere: ce trebuie să verifice o CA VPN

O cerere de semnare a certificatului conține o cheie publică și un subiect solicitat, semnate cu cheia privată corespunzătoare. Semnătura respectivă dovedește că solicitantul deține cheia. Nu dovedește că solicitantul are dreptul la numele, dispozitivul sau rolul VPN solicitate, iar tratarea cererii ca și cum ar dovedi acest lucru este exact felul în care un tichet de asistență devine o acordare de acces.

Merită comparate două modele de înscriere după ce leagă, nu după protocolul pe care îl vorbesc.

O cerere afirmă un nume, nu îl dovedește

Citiți cererea pentru ce conține de fapt: o cheie publică, un subiect ales de solicitant și o autosemnătură asupra ambelor. Nimic din acea structură nu trimite la inventarul, la directorul de conturi sau la fluxul de aprobare. Un subiect precum cn=finance-laptop este un șir tastat de cineva. Până când procesul de emitere verifică acel șir față de o înregistrare în care are încredere, certificatul este o afirmație cu o semnătură atașată. Această distincție este întregul motiv pentru care există un proces de înscriere.

Consecința contează operațional. O autoritate de certificare nu are niciodată nevoie de cheia privată a clientului pentru a emite un certificat, iar un flux care o cere a confundat semnarea cu păstrarea cheilor. Țineți generarea pe punctul final și trimiteți doar jumătatea publică.

Comparați modelele după ce leagă

Semnarea manuală leagă ceea ce operatorul își amintește să verifice. Un serviciu de înscriere automatizat leagă o cerere autentificată de o decizie pe care serviciul o poate impune, iar RFC 7030 descrie un astfel de proiect în care clientul se autentifică înainte ca un certificat să fie returnat. Diferența care supraviețuiește unui audit nu este automatizarea; este dacă verificarea identității are loc în interiorul traseului de emitere sau lângă el.

Ambele modele trebuie încă să răspundă la aceleași trei întrebări. Cine cere, pe ce dispozitiv sau rol și pentru cât timp. Un sistem de tichete care înregistrează răspunsurile face muncă reală; o coadă în care cineva se holbează la un nume comun nu, oricât de atent ar fi formatat certificatul ulterior.

Alegeți modelul după numărul de înscrieri pe care le așteptați și după rotația dispozitivelor. Câțiva servere pe an supraviețuiesc unei revizuiri manuale cu o listă de verificare scrisă. O flotă de laptopuri nu.

Înregistrați ciclul de viață de la prima emitere

Stocați identificatorul certificatului, proprietarul, utilizarea prevăzută, expirarea și calea de eliminare în momentul emiterii, nu la primul incident. Utilizarea prevăzută aparține certificatului însuși printr-o utilizare extinsă a cheii, iar înregistrarea trebuie să fie de acord cu ea. Un certificat creat pentru autentificarea clienților nu trebuie să fie imposibil de distins de unul pentru un server.

Planificați reînnoirea și revocarea unui dispozitiv pierdut înainte de a emite al zecelea profil. Un certificat partajat într-un departament transformă o eliminare țintită într-o întrerupere, iar această decizie este mult mai ieftin de reexaminat acum decât în timpul unui incident de vineri.

Verificați certificatul emis, apoi accesul

După înscriere, inspectați ce a fost emis și confirmați că se înlănțuie la autoritatea așteptată. Două comenzi acoperă erorile obișnuite: un certificat cu utilizarea greșită și un lanț care funcționează doar pentru că clientul este configurat să ignore validarea.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Apoi testați accesul, nu artefactul. Un certificat stabilește identitatea, iar politica decide în continuare la ce servicii poate ajunge acea identitate. Verificați ambele, pentru că un artefact corect cu o politică prea largă tot nu trece o revizuire. Confirmați că clientul se autentifică și primește doar rutele sau resursele prevăzute. Notați ce ați observat, nu ce ar fi trebuit să facă profilul.

Un profil care funcționează din motivul greșit, cum ar fi un nume comun potrivit și nicio verificare a identității, va continua să funcționeze după ce controlul pe care credeați că îl aveți este eliminat.