Prenesite izdajanje potrdil VPN brez korenskega ključa

Nekomu dati zmožnost vpisovanja odjemalcev VPN in mu dati prenosno kopijo korenskega ključa sta dve različni dejanji, in razlika postane vidna šele, ko ta oseba odide ali ta ključ pricuri. Prvo daje operacijo znotraj delovnega toka, ki ga nadzorujete; drugo daje zmožnost ustvarjanja zaupanja kjerkoli, brez povezave, neomejeno. Odločite se, katero delo potrebuje, preden se dotaknete kakršnega koli ključnega gradiva. Hierarhični diagram na to vprašanje ne bo odgovoril namesto vas.

Zapišite nalogo vpisa kot tri vprašanja: kdo lahko zaprosi, kdo odobri in kaj sme izdajni komponent podpisati.

Odločite se, katero zmožnost dajete

Izdajna storitev lahko izpostavi potek odobritve in hkrati hrani podpisno gradivo pri ločenem lastniku. Operater odobri zahtevo naprave, storitev uporabi politiko in zabeleži izdajo, in nihče od vpletenih nima ključa CA. Dokumentirajte dovoljene identitete, odobritelje in obseg tega, kar sme storitev podpisati; nato zaščitite njeno upravljanje enako skrbno kot ključ. Zahteva za podpis potrdila je zahteva, ne odločitev o avtorizaciji.

Shramba s strojno podporo spreminja tveganje kopiranja ključa, ne potrebe po avtorizaciji. Neizvozljivost pomeni, da ključa ni mogoče vzeti ven, in ne pomeni, da je vsakdo, ki lahko pokliče vmesnik za podpisovanje, upravičen do potrdila. Ti dve lastnosti ocenite ločeno.

Vmesno potrdilo omejuje pooblastilo

Koren lahko overi vmesno potrdilo za vsakodnevno izdajanje, tako da se rutinsko delo ne dotika več korenskega ključa, dokler lastni postopki podpisovanja in obnavljanja korena ostanejo zaščiteni. To je resnična meja in ni brezplačna: še eno potrdilo, še en ključ, še ena obnovitev in še en seznam preklicev za vzdrževanje. Uporabite ga, ko predstavlja namerno mejo upravljanja ali tveganja. Ustvarjanje izdajatelja za vsakega skrbnika proizvede več vsega in ne kupi ničesar, česar delovni tok že ni zagotavljal.

Preverite, da preveritelji VPN zgradijo verigo tako, kot pričakujete. Pošiljanje vmesnega potrdila za gradnjo verige in njegova namestitev kot neposredno zaupanja vrednega sidra sta različni ureditvi.

pathLen nič ne pomeni tega, kar mislite

RFC 5280 razdelek 4.2.1.9 opredeljuje osnovne omejitve, in njegovo polje dolžine poti omejuje, koliko vmesnih potrdil, ki jih ni izdal sam, lahko sledi na veljavni poti. Vrednost nič omejuje nadaljnjo vmesno globino; ne omejuje števila potrdil končnih subjektov. Ljudje to berejo kot nič dovoljenih potrdil in se nato sprašujejo, zakaj izdajanje še deluje. Polje berite kot omejitev globine za CA, in vedenje postane predvidljivo.

Isti razdelek nakazuje, da je sidro zaupanja vhod v preverjanje poti in ne običajno potrdilo znotraj poti. Zato objava vnosa preklica za samopodpisani koren tega ne odstrani zanesljivo iz vsake shrambe.

Odhod ni kompromitacija ključa

Kjer odhajajoči ni imel ničesar razen osebnega upravljackega računa, prekličite ta dostop in njegove seje s podprtim postopkom identitete, nato pregledajte dejavnost in odobritve, ki jih je ustvaril. Prej izdana odjemalska potrdila ne postanejo neveljavna zato, ker je njihov odobritelj odšel, in obravnavanje teh kot kompromitiranih ustvari veliko, nepotrebno ponovno vpisovanje. Onemogočanje računa tudi ne more razveljaviti kopiranega podpisnega ključa, zato je odgovor odvisen od tega, katera zmožnost je bila v rokah.

Ko je vmesno potrdilo kompromitirano, je treba njegovo avtorizacijo preklicati in vsako identiteto, za katero je jamčilo, zamenjati, skladno s politiko, ki jo uveljavlja preveritelj. Zaupanje korena potrebuje svoj odgovor, ker sidro živi v shrambah zaupanja, ki jih morda ne nadzorujete.

Sprejmite zasnovo s štirimi konkretnimi primeri: primerna naprava se vpiše, neodobrena zahteva je zavrnjena, odstranjen operater ne more več izdajati in upokojeni izdajatelj ne dodeljuje več dostopa. Ti štirje rezultati so runbook.