Delegoni lëshimin e certifikatave VPN pa çelësin rrënjë

T'i japësh dikujt aftësinë për të regjistruar klientë VPN dhe t'i japësh një kopje të transportueshme të çelësit rrënjë janë dy veprime të ndryshme, dhe ndryshimi bëhet i dukshëm vetëm kur ai person largohet ose ai çelës rrjedh. I pari jep një operacion brenda një rrjedhe pune që ju kontrolloni; i dyti jep aftësinë për të krijuar besim kudo, jashtë linje, pafundësisht. Vendosni se cilin prej tyre i nevojitet punës përpara se të prekni çdo material çelësi. Një diagram hierarkie nuk do t'ju përgjigjet asaj pyetjeje.

Shkruajeni punën e regjistrimit si tre pyetje: kush mund të kërkojë, kush miraton dhe çfarë mund të nënshkruajë komponenti lëshues.

Vendosni çfarë aftësie po jepni

Një shërbim lëshues mund të ekspozojë një rrjedhë miratimi duke e mbajtur materialin e nënshkrimit te një pronar i veçantë. Një operator miraton një kërkesë pajisjeje, shërbimi zbaton politikën dhe regjistron lëshimin, dhe askush nga të përfshirët nuk e mban çelësin CA. Dokumentoni identitetet e lejuara, miratuesit dhe shtrirjen e asaj që shërbimi mund të nënshkruajë; pastaj mbrojeni administrimin e tij po aq me kujdes sa çelësin. Një kërkesë për nënshkrim certifikate është një kërkesë, jo një vendim autorizimi.

Ruajtja me mbështetje harduerike ndryshon rrezikun e kopjimit të çelësit, jo nevojën për autorizim. Jo-eksportueshmëria do të thotë që çelësi nuk mund të nxirret, dhe nuk do të thotë që kushdo që mund të thërrasë ndërfaqen e nënshkrimit ka të drejtë për një certifikatë. Vlerësoni këto dy veti veçmas.

Një certifikatë e ndërmjetme kufizon autoritetin

Një rrënjë mund të vërtetojë një të ndërmjetme për lëshimin e përditshëm, kështu që puna rutinë nuk e prek më çelësin rrënjë, për sa kohë procedurat e veta të nënshkrimit dhe rikuperimit të rrënjës mbeten të mbrojtura. Është një kufi i vërtetë dhe nuk është falas: një certifikatë tjetër, një çelës tjetër, një rinovim tjetër dhe një listë tjetër revokimi për t'u mirëmbajtur. Përdoreni kur përfaqëson një kufi të qëllimshëm menaxhimi ose rreziku. Krijimi i një lëshuesi për çdo administrator prodhon më shumë nga gjithçka dhe nuk blen asgjë që rrjedha e punës nuk e ofronte tashmë.

Verifikoni që verifikuesit e VPN e ndërtojnë zinxhirin siç prisni. Dërgimi i një të ndërmjetme për ndërtimin e zinxhirit dhe instalimi i saj si ankorë direkt e besuar janë dy rregullime të ndryshme.

pathLen zero nuk do të thotë ajo që mendoni

RFC 5280 seksioni 4.2.1.9 përcakton kufizimet bazë, dhe fusha e gjatësisë së shtegut kufizon sa certifikata të ndërmjetme që nuk janë vetëlëshuar mund të pasojnë në një shteg të vlefshëm. Vlera zero kufizon thellësinë e mëtejshme të ndërmjetme; nuk kufizon numrin e certifikatave të entitetit fundor. Njerëzit e lexojnë si zero certifikata të lejuara dhe pastaj pyesin veten pse lëshimi ende funksionon. Lexojeni fushën si një kufi thellësie për CA-të, dhe sjellja bëhet e parashikueshme.

I njëjti seksion nënkupton që një ankorë besimi është një hyrje në validimin e shtegut, jo një certifikatë e zakonshme brenda shtegut. Kjo është arsyeja pse publikimi i një zëri revokimi për një rrënjë të vetënënshkruar nuk e heq atë në mënyrë të besueshme nga çdo depo.

Largimi nuk është kompromis i çelësit

Kur ai që largohet mbante vetëm një llogari personale administrimi, revokoni atë akses dhe sesionet e tij përmes procesit të identitetit të mbështetur, pastaj rishikoni aktivitetin dhe miratimet që ai prodhoi. Certifikatat e klientëve të lëshuara më parë nuk bëhen të pavlefshme sepse miratuesi i tyre u largua, dhe trajtimi i tyre si të kompromentuara krijon një riregjistrim të madh dhe të panevojshëm. Çaktivizimi i një llogarie gjithashtu nuk mund të anulojë një çelës nënshkrimi të kopjuar, kështu që përgjigja varet nga ajo se cila aftësi mbahej.

Kur një certifikatë e ndërmjetme kompromentohet, autorizimi i saj duhet të tërhiqet dhe çdo identitet për të cilin garantoi duhet të zëvendësohet, sipas politikës që zbaton verifikuesi. Besimi i rrënjës kërkon përgjigjen e vet, sepse ankora jeton në depo besimi që mund të mos i kontrolloni.

Pranoni projektin me katër raste konkrete: një pajisje e përshtatshme regjistrohet, një kërkesë e pamiratuar refuzohet, një operator i hequr nuk mund të lëshojë më, dhe një lëshues i tërhequr nuk jep më akses. Këto katër rezultate janë runbook-u.