Delegujte vydávanie VPN certifikátov bez koreňového kľúča

Dať niekomu možnosť registrovať klientov VPN a dať mu prenosnú kópiu koreňového kľúča sú dva rôzne úkony a rozdiel sa ukáže, až keď ten človek odíde alebo ten kľúč unikne. Prvý dáva operáciu v pracovnom postupe, ktorý ovládate; druhý dáva schopnosť vytvárať dôveru kdekoľvek, offline, neobmedzene. Rozhodnite, ktoré z toho práca potrebuje, skôr než sa dotknete akéhokoľvek kľúčového materiálu. Hierarchická schéma vám tu otázku nezodpovie.

Zapíšte úlohu registrácie ako tri otázky: kto smie požiadať, kto schvaľuje a čo smie vydávajúci komponent podpísať.

Rozhodnite, akú schopnosť dávate

Vydávajúca služba môže vystaviť schvaľovací postup a pritom držať podpisový materiál u oddeleného vlastníka. Operátor schváli žiadosť o zariadenie, služba uplatní zásady a zaznamená vydanie a nikto zúčastnený nemá kľúč CA. Zdokumentujte povolené identity, schvaľovateľov a rozsah toho, čo služba smie podpísať; potom chráňte jej správu rovnako starostlivo ako kľúč. Žiadosť o podpísanie certifikátu je žiadosť, nie rozhodnutie o autorizácii.

Úložisko s hardvérovou podporou mení riziko skopírovania kľúča, nie potrebu autorizácie. Neexportovateľnosť znamená, že kľúč nemožno vybrať, a neznamená, že každý, kto môže zavolať podpisové rozhranie, má nárok na certifikát. Posúďte tieto dve vlastnosti oddelene.

Prostredný certifikát ohraničuje právomoc

Koreň môže certifikovať prostredný certifikát pre každodenné vydávanie, takže rutinná práca už nesiahne na koreňový kľúč, pokiaľ zostanú chránené vlastné postupy podpisovania a obnovy koreňa. Je to skutočná hranica a nie je zadarmo: ďalší certifikát, ďalší kľúč, ďalšia obnova a ďalší zoznam odvolaných na údržbu. Použite ho, keď predstavuje zámernú hranicu správy alebo rizika. Vytváranie vydavateľa pre každého správcu produkuje viac všetkého a nekupuje nič, čo pracovný postup už neposkytoval.

Skontrolujte, že verifikátory VPN stavajú reťaz tak, ako očakávate. Dodanie prostredného certifikátu na stavbu reťaze a jeho inštalácia ako priamo dôveryhodnej kotvy sú rôzne usporiadania.

pathLen nula neznamená to, čo si myslíte

RFC 5280 oddiel 4.2.1.9 definuje základné obmedzenia a jeho pole dĺžky cesty obmedzuje, koľko prostredných certifikátov, ktoré nevydal sám sebe, môže nasledovať v platnej ceste. Hodnota nula obmedzuje ďalšiu prostrednú hĺbku; neobmedzuje počet certifikátov koncových subjektov. Ľudia to čítajú ako nula povolených certifikátov a potom sa čudujú, prečo vydávanie stále funguje. Čítajte pole ako obmedzenie hĺbky pre CA a správanie sa stane predvídateľným.

Ten istý oddiel naznačuje, že kotva dôvery je vstupom do validácie cesty, nie bežným certifikátom v ceste. Preto zverejnenie záznamu o odvolaní pre samopodpísaný koreň ho spoľahlivo neodstráni z každého úložiska.

Odchod nie je kompromitácia kľúča

Keď odchádzajúci mal len osobný správcovský účet, odvolajte tento prístup a jeho relácie podporovaným procesom identít a potom prejdite aktivitu a schválenia, ktoré vytvoril. Predtým vydané klientske certifikáty sa nestávajú neplatnými preto, že ich schvaľovateľ odišiel, a ich považovanie za kompromitované vytvára veľkú, zbytočnú opätovnú registráciu. Deaktivácia účtu tiež nemôže zneplatniť skopírovaný podpisový kľúč, takže reakcia závisí od toho, ktorá schopnosť bola držaná.

Keď je prostredný certifikát kompromitovaný, jeho autorizácia musí byť odvolaná a každá identita, za ktorú ručil, nahradená, podľa zásad, ktoré verifikátor presadzuje. Dôvera v koreň potrebuje vlastnú reakciu, pretože kotva žije v úložiskách dôvery, ktoré nemusíte ovládať.

Prijmite návrh so štyrmi konkrétnymi prípadmi: vhodné zariadenie sa zaregistruje, neschválená žiadosť je odmietnutá, odstránený operátor už nemôže vydávať a vyradený vydavateľ už neudeľuje prístup. Tieto štyri výsledky sú runbook.