En CSR ensam är inte registrering: vad en VPN-CA måste kontrollera

En begäran om certifikatsignering innehåller en offentlig nyckel och ett önskat subject, signerade med den matchande privata nyckeln. Den signaturen bevisar att sökanden har nyckeln. Den bevisar inte att sökanden har rätt till namnet, enheten eller VPN-rollen som efterfrågas, och att behandla begäran som om den gjorde det är precis hur en helpdeskbiljett blir en åtkomsttilldelning.

Två registreringsmodeller är värda att jämföra efter vad de binder, inte efter vilket protokoll de talar.

En begäran hävdar ett namn, den bevisar det inte

Läs begäran för vad den faktiskt innehåller: en offentlig nyckel, ett subject som sökanden valt och en självsignatur över båda. Ingenting i den strukturen hänvisar till ert inventarium, er kontokatalog eller ert godkännandeflöde. Ett subject som cn=finance-laptop är en sträng som någon skrivit. Tills utfärdandeprocessen kontrollerar strängen mot en post den litar på är certifikatet ett påstående med en signatur bifogad. Den skillnaden är hela anledningen till att en registreringsprocess finns.

Konsekvensen är operativt viktig. En certifikatmyndighet behöver aldrig klientens privata nyckel för att utfärda ett certifikat, och ett flöde som ber om en har blandat ihop signering med nyckelförvaring. Håll genereringen på slutpunkten och skicka bara den offentliga halvan.

Jämför modellerna efter vad de binder

Manuell signering binder det som operatören kommer ihåg att kontrollera. En automatiserad registreringstjänst binder en autentiserad begäran till ett beslut som tjänsten kan genomdriva, och RFC 7030 beskriver en sådan design där klienten autentiserar innan ett certifikat returneras. Skillnaden som överlever en revision är inte automatisering; det är om identitetskontrollen sker inne i utfärdandevägen eller bredvid den.

Båda modellerna måste fortfarande svara på samma tre frågor. Vem frågar, på vilken enhet eller roll, och hur länge. Ett ärendesystem som registrerar svaren gör riktigt arbete; en kö där någon stirrar på ett vanligt namn gör det inte, hur noggrant certifikatet än formateras senare.

Välj modellen efter antalet registreringar du förväntar dig och efter omsättningen av enheter. Några få servrar om året klarar en manuell granskning med en skriftlig checklista. En flotta bärbara datorer gör det inte.

Registrera livscykeln från första utfärdandet

Spara certifikatets identifierare, ägaren, det avsedda användningsområdet, utgången och borttagningsvägen i utfärdandeögonblicket, inte vid den första incidenten. Det avsedda användningsområdet hör hemma i själva certifikatet genom en utökad nyckelanvändning, och posten ska stämma med det. Ett certifikat utfärdat för klientautentisering bör inte gå att skilja från ett för en server.

Planera förnyelse och återkallande av förlorad enhet innan ni utfärdar den tionde profilen. Ett certifikat som delas över en avdelning gör en riktad borttagning till ett avbrott, och det beslutet är mycket billigare att ompröva nu än under en fredagsincident.

Kontrollera det utfärdade certifikatet, sedan åtkomsten

Efter registreringen, undersök vad som utfärdats och bekräfta att det kedjar till den myndighet ni förväntar er. Två kommandon täcker de vanliga felen: ett certifikat med fel användning, och en kedja som bara fungerar för att klienten är konfigurerad att ignorera validering.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Testa sedan åtkomsten i stället för artefakten. Ett certifikat fastställer identitet, och policyn avgör fortfarande vilka tjänster den identiteten får nå. Kontrollera båda, eftersom en korrekt artefakt med en alltför bred policy ändå inte klarar en granskning. Bekräfta att klienten autentiserar och bara tar emot de avsedda rutterna eller resurserna. Anteckna vad ni observerade, inte vad profilen skulle göra.

En profil som fungerar av fel anledning, till exempel ett matchande vanligt namn och ingen identitetskontroll, fortsätter att fungera efter att kontrollen ni trodde ni hade tagits bort.