Delegera utfärdande av VPN-certifikat utan rotnyckeln

Att ge någon möjligheten att registrera VPN-klienter och att ge dem en flyttbar kopia av rotnyckeln är två olika handlingar, och skillnaden blir synlig först när den personen slutar eller den nyckeln läcker. Den första ger en operation inom ett arbetsflöde du kontrollerar; den andra ger förmågan att skapa förtroende var som helst, offline, på obestämd tid. Bestäm vilken av dem jobbet behöver innan du rör något nyckelmaterial. Ett hierarkidiagram svarar inte på den frågan åt dig.

Skriv ned registreringsjobbet som tre frågor: vem får begära, vem godkänner och vad den utfärdande komponenten får signera.

Bestäm vilken förmåga du ger

En utfärdande tjänst kan exponera ett godkännandeflöde medan signeringsmaterialet hålls hos en separat ägare. En operatör godkänner en enhetsbegäran, tjänsten tillämpar policy och registrerar utfärdandet, och ingen inblandad innehar CA-nyckeln. Dokumentera de tillåtna identiteterna, godkännarna och omfattningen av vad tjänsten får signera; skydda sedan dess administration lika noggrant som nyckeln. En begäran om certifikatsignering är en begäran, inte ett auktoriseringsbeslut.

Maskinvarustödd lagring förändrar risken att nyckeln kopieras, inte behovet av auktorisering. Icke-exporterbar betyder att nyckeln inte kan lyftas ut, och det betyder inte att alla som kan anropa signeringsgränssnittet har rätt till ett certifikat. Bedöm dessa två egenskaper separat.

Ett mellanliggande certifikat begränsar befogenheten

En rot kan certifiera ett mellanliggande certifikat för dagligt utfärdande, så att rutinarbete inte längre rör rotnyckeln, så länge rotens egna signerings- och återställningsprocedurer förblir skyddade. Det är en verklig gräns och den är inte gratis: ännu ett certifikat, ännu en nyckel, ännu en förnyelse och ännu en återkallningslista att underhålla. Använd ett när det representerar en medveten styrnings- eller riskgräns. Att skapa en utfärdare per administratör producerar mer av allt och köper inget som arbetsflödet inte redan gav.

Kontrollera att VPN-verifierarna bygger kedjan som du förväntar dig. Att leverera ett mellanliggande certifikat för kedjebyggnad och att installera det som ett direkt betrott ankare är olika upplägg.

pathLen noll betyder inte det du tror

RFC 5280 avsnitt 4.2.1.9 definierar de grundläggande begränsningarna, och dess sökvägslängdfält begränsar hur många mellanliggande certifikat som inte är självutfärdade som får följa i en giltig sökväg. Värdet noll begränsar ytterligare mellanliggande djup; det begränsar inte antalet slutentitetscertifikat. Folk läser det som noll tillåtna certifikat och undrar sedan varför utfärdandet fortfarande fungerar. Läs fältet som en djupbegränsning för CA:er, och beteendet blir förutsägbart.

Samma avsnitt antyder att ett förtroendeankare är en indata till sökvägsvalidering snarare än ett vanligt certifikat inuti sökvägen. Därför tar publicering av en återkallningspost för en självsignerad rot inte bort den tillförlitligt från varje arkiv.

Avslut är inte en nyckelkompromiss

Där den som slutar bara hade ett personligt administrationskonto, återkalla den åtkomsten och dess sessioner genom den stödda identitetsprocessen, och granska sedan aktiviteten och godkännandena som den skapade. Tidigare utfärdade klientcertifikat blir inte ogiltiga för att deras godkännare slutade, och att behandla dem som komprometterade skapar en stor, onödig nyregistrering. Att inaktivera ett konto kan inte heller ogiltigförklara en kopierad signeringsnyckel, så svaret beror på vilken förmåga som innehades.

När ett mellanliggande certifikat komprometteras måste dess auktorisering dras tillbaka och varje identitet det gick i god för ersättas, enligt den policy som verifieraren tillämpar. Rotförtroende behöver sitt eget svar, eftersom ankaret lever i förtroendearkiv som du kanske inte kontrollerar.

Acceptera designen med fyra konkreta fall: en kvalificerad enhet registreras, en icke godkänd begäran avvisas, en operatör som tagits bort kan inte längre utfärda, och en utfärdare som pensionerats ger inte längre åtkomst. De fyra resultaten är runbooken.