Një CSR i vetëm nuk është regjistrim: çfarë duhet të kontrollojë një CA VPN

Një kërkesë për nënshkrim certifikate mban një çelës publik dhe një subject të kërkuar, të nënshkruar me çelësin privat përkatës. Ai nënshkrim vërteton që kërkuesi e zotëron çelësin. Nuk vërteton që kërkuesi ka të drejtë për emrin, pajisjen ose rolin VPN të kërkuar, dhe trajtimi i kërkesës sikur ta vërtetonte këtë është pikërisht mënyra se si një biletë ndihme bëhet dhënie aksesi.

Dy modele regjistrimi ia vlen të krahasohen sipas asaj që lidhin, jo sipas protokollit që flasin.

Një kërkesë pretendon një emër, nuk e vërteton atë

Lexoni kërkesën për atë që përmban në të vërtetë: një çelës publik, një subject të zgjedhur nga kërkuesi dhe një vetënënshkrim mbi të dyja. Asgjë në atë strukturë nuk i referohet inventarit tuaj, drejtorisë së llogarive ose rrjedhës së miratimit. Një subject si cn=finance-laptop është një varg që dikush e ka shtypur. Derisa procesi i lëshimit ta kontrollojë atë varg kundrejt një regjistri që i beson, certifikata është një pohim me një nënshkrim të bashkangjitur. Ky dallim është i gjithë shkaku pse ekziston një proces regjistrimi.

Pasoja ka rëndësi operacionale. Një autoritet certifikimi nuk ka nevojë kurrë për çelësin privat të klientit për të lëshuar një certifikatë, dhe një rrjedhë që kërkon një të tillë ka ngatërruar nënshkrimin me ruajtjen e çelësave. Mbajeni gjenerimin në pikën fundore dhe dërgoni vetëm gjysmën publike.

Krahasoni modelet sipas asaj që lidhin

Nënshkrimi manual lidh atë që operatori kujtohet të kontrollojë. Një shërbim regjistrimi i automatizuar lidh një kërkesë të vërtetuar me një vendim që shërbimi mund ta zbatojë, dhe RFC 7030 përshkruan një dizajn të tillë ku klienti vërteton identitetin para se të kthehet një certifikatë. Dallimi që i mbijeton një auditimi nuk është automatizimi; është nëse kontrolli i identitetit ndodh brenda rrugës së lëshimit apo pranë saj.

Të dy modelet ende duhet t'u përgjigjen të njëjtave tre pyetje. Kush kërkon, në cilën pajisje ose rol, dhe për sa kohë. Një sistem biletash që i regjistron përgjigjet bën punë të vërtetë; një radhë ku dikush vështron një emër të përbashkët nuk bën, sado me kujdes që formatohet certifikata më vonë.

Zgjidhni modelin sipas numrit të regjistrimeve që prisni dhe sipas qarkullimit të pajisjeve. Disa serverë në vit ia dalin me një rishikim manual me një listë kontrolli të shkruar. Një flotë laptopësh nuk ia del.

Regjistroni ciklin e jetës nga lëshimi i parë

Ruani identifikuesin e certifikatës, pronarin, përdorimin e synuar, skadimin dhe rrugën e heqjes në momentin e lëshimit, jo në incidentin e parë. Përdorimi i synuar i takon vetë certifikatës përmes një përdorimi të zgjeruar të çelësit, dhe regjistri duhet të pajtohet me të. Një certifikatë e krijuar për vërtetim klientësh nuk duhet të jetë e padallueshme nga një për server.

Planifikoni rinovimin dhe revokimin e një pajisjeje të humbur përpara se të lëshoni profilin e dhjetë. Një certifikatë e ndarë në një departament e kthen heqjen e synuar në ndërprerje, dhe ai vendim është shumë më i lirë të rishikohet tani sesa gjatë një incidenti të premte.

Verifikoni certifikatën e lëshuar, pastaj aksesin

Pas regjistrimit, inspektoni çfarë u lëshua dhe konfirmoni që lidhet në zinxhir me autoritetin që prisni. Dy komanda mbulojnë gabimet e zakonshme: një certifikatë me përdorim të gabuar, dhe një zinxhir që funksionon vetëm sepse klienti është konfiguruar të injorojë validimin.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Më pas testoni aksesin, jo artefaktin. Certifikata vendos identitetin, dhe politika ende vendos cilat shërbime mund të arrijë ai identitet. Kontrolloni të dyja, sepse një artefakt i saktë me një politikë shumë të gjerë dështon gjithashtu në një rishikim. Konfirmoni që klienti vërteton identitetin dhe merr vetëm rrugët ose burimet e synuara. Shënoni çfarë vëzhguat, jo çfarë duhej të bënte profili.

Një profil që funksionon për arsyen e gabuar, si një emër i përbashkët që përputhet dhe asnjë kontroll identiteti, do të vazhdojë të funksionojë pasi të hiqet kontrolli që mendonit se kishit.