Делегирајте издавање VPN сертификата без коренског кључа

Дате некоме могућност да региструје VPN клијенте и дате му преносиву копију коренског кључа су два различита поступка, и разлика постаје видљива тек када та особа оде или тај кључ отекне. Прво даје операцију унутар радног тока који контролишете; друго даје способност стварања поверења било где, офлајн, неограничено. Одлучите које од двоје је послу потребно пре него што дотакнете било који кључни материјал. Дијаграм хијерархије неће вам одговорити на то питање.

Запишите посао регистрације као три питања: ко може да затражи, ко одобрава и шта сме да потпише компонента која издаје.

Одлучите коју способност дајете

Услуга која издаје може да изложи ток одобравања, а да при том материјал за потписивање држи код одвојеног власника. Оператер одобрава захтев уређаја, услуга примењује политику и бележи издавање, и нико укључен не држи CA кључ. Документујте дозвољене идентитете, одобраваоце и обим онога што услуга сме да потпише; затим заштитите њено администрирање једнако пажљиво као кључ. Захтев за потписивање сертификата је захтев, а не одлука о ауторизацији.

Складиштење са хардверском подршком мења ризик од копирања кључа, а не потребу за ауторизацијом. Неизвозивост значи да кључ не може да се извади, и не значи да свако ко може да позове интерфејс за потписивање има право на сертификат. Процените та два својства одвојено.

Средњи сертификат ограничава овлашћење

Корен може да сертификује средњи сертификат за свакодневно издавање, тако да рутински посао више не дотиче коренски кључ, све док сопствени поступци потписивања и опоравка корена остају заштићени. То је стварна граница и није бесплатна: још један сертификат, још један кључ, још једно обнављање и још један списак опозива за одржавање. Користите га када представља намерну границу управљања или ризика. Стварање издаваоца за сваког администратора производи више свега и не купује ништа што радни ток већ није пружао.

Проверите да ли верификатори VPN граде ланац онако како очекујете. Слање средњег сертификата за изградњу ланца и његово инсталирање као директно поузданог сидра су различита решења.

pathLen нула не значи оно што мислите

RFC 5280 одељак 4.2.1.9 дефинише основна ограничења, и његово поље дужине путање ограничава колико средњих сертификата који нису сами себи издати може да следи у важећој путањи. Вредност нула ограничава даљу средњу дубину; не ограничава број сертификата крајњих ентитета. Људи то читају као нула дозвољених сертификата и затим се питају зашто издавање још функционише. Читајте поље као ограничење дубине за CA, и понашање постаје предвидиво.

Исти одељак подразумева да је сидро поверења улаз у валидацију путање, а не обичан сертификат унутар путање. Зато објављивање записа о опозиву за самопотписани корен не уклања га поуздано из сваког складишта.

Одлазак са посла није компромитација кључа

Када онај који одлази није држао ништа осим личног административног налога, опозовите тај приступ и његове сесије кроз подржани процес идентитета, затим прегледајте активност и одобрења која је створио. Раније издати клијентски сертификати не постају неважећи зато што је њихов одобравалац отишао, и третирање истих као компромитованих ствара велику, непотребну поновну регистрацију. Искључивање налога такође не може да поништи копирани кључ за потписивање, па одговор зависи од тога која је способност држана.

Када је средњи сертификат компромитован, његова ауторизација мора да буде повучена и сваки идентитет за који је гарантовао замењен, према политици коју верификатор спроводи. Поверење у корен захтева сопствени одговор, јер сидро живи у складиштима поверења која можда не контролишете.

Прихватите дизајн са четири конкретна случаја: одговарајући уређај се региструје, неодобрени захтев се одбија, уклоњени оператер више не може да издаје, и пензионисани издавалац више не даје приступ. Та четири резултата су runbook.