Kukasimu utoaji wa vyeti vya VPN bila ufunguo wa mzizi

Kumpa mtu uwezo wa kusajili wateja wa VPN na kumpa nakala inayobebeka ya ufunguo wa mzizi ni vitendo viwili tofauti, na tofauti inaonekana tu wakati mtu huyo anaondoka au ufunguo huo unavuja. Cha kwanza kinatoa operesheni ndani ya mtiririko wa kazi unaodhibiti; cha pili kinatoa uwezo wa kuunda uaminifu popote, nje ya mtandao, bila kikomo. Amua ni kipi kazi inahitaji kabla ya kugusa nyenzo yoyote ya ufunguo. Mchoro wa ngazi hautakujibu swali hilo.

Andika kazi ya usajili kama maswali matatu: nani anaweza kuomba, nani anaidhinisha, na kipengele kinachotoa kinaweza kusaini nini.

Amua ni uwezo gani unatoa

Huduma inayotoa inaweza kuonyesha mtiririko wa idhini huku ikihifadhi nyenzo ya kusaini kwa mmiliki tofauti. Mwendeshaji anaidhinisha ombi la kifaa, huduma inatumia sera na kurekodi utoaji, na hakuna aliyeshiriki anayemiliki ufunguo wa CA. Andika kumbukumbu za utambulisho unaoruhusiwa, waidhinishaji na wigo wa kile huduma inaweza kusaini; kisha linda usimamizi wake kwa uangalifu kama ufunguo. Ombi la kusaini cheti ni ombi, si uamuzi wa idhini.

Hifadhi inayoungwa mkono na maunzi hubadilisha hatari ya ufunguo kunakiliwa, si hitaji la idhini. Isiyoweza kuhamishwa inamaanisha ufunguo hauwezi kutolewa nje, na haimaanishi kwamba yeyote anayeweza kuita kiolesura cha kusaini ana haki ya cheti. Tathmini sifa hizi mbili kwa kutenganisha.

Cheti cha kati kinapunguza mamlaka

Mzizi unaweza kuthibitisha cheti cha kati kwa ajili ya utoaji wa kila siku, hivyo kazi ya kawaida haigusi tena ufunguo wa mzizi, mradi taratibu za kusaini na kurejesha za mzizi yenyewe zinabaki zikilindwa. Hiyo ni mpaka halisi na haiko bure: cheti kingine, ufunguo mwingine, upya mwingine na orodha nyingine ya kufuta ya kudumisha. Tumia kimoja wakati kinawakilisha mpaka wa usimamizi au hatari kwa makusudi. Kuunda mtoaji kwa kila msimamizi huzalisha zaidi ya kila kitu na hakununui chochote ambacho mtiririko wa kazi haukuwa unatoa.

Hakikisha kwamba wathibitishaji wa VPN wanajenga mnyororo kama unavyotarajia. Kutuma cheti cha kati kwa ujenzi wa mnyororo na kukisakinisha kama nanga inayoaminika moja kwa moja ni mipangilio tofauti.

pathLen sifuri haimaanishi unachofikiri

RFC 5280 kifungu 4.2.1.9 kinafafanua vikwazo vya msingi, na uwanja wake wa urefu wa njia unapunguza vyeti vingapi vya kati visivyotolewa na vyenyewe vinaweza kufuata katika njia halali. Thamani ya sifuri inapunguza kina zaidi cha kati; haipunguzi idadi ya vyeti vya huluki ya mwisho. Watu wanasoma hii kama sifuri vyeti vinavyoruhusiwa kisha wanashangaa kwa nini utoaji bado unafanya kazi. Soma uwanja kama kikomo cha kina kwa CA, na tabia inakuwa inayotabirika.

Kifungu hicho hicho kinaashiria kwamba nanga ya uaminifu ni ingizo la uthibitishaji wa njia, si cheti cha kawaida ndani ya njia. Ndiyo sababu kuchapisha ingizo la kufuta kwa mzizi uliojisaini hakuiondoi kwa uhakika kutoka kila hifadhi.

Kuacha kazi si uvunjaji wa ufunguo

Ambapo anayeondoka hakuwa na chochote isipokuwa akaunti ya kibinafsi ya usimamizi, batilisha ufikiaji huo na vipindi vyake kupitia mchakato wa utambulisho unaoungwa mkono, kisha kagua shughuli na idhini alizozalisha. Vyeti vya mteja vilivyotolewa awali havibadiliki kuwa batili kwa sababu mwidhinishaji wao aliondoka, na kuvichukulia kama vilivyovunjwa huunda usajili mpya mkubwa usio wa lazima. Kulemaza akaunti pia hakuwezi kubatilisha ufunguo wa kusaini ulionakiliwa, kwa hivyo jibu linategemea ni uwezo gani uliokuwa umeshikiliwa.

Wakati cheti cha kati kinavunjwa, idhini yake inapaswa kuondolewa na kila utambulisho iliokidhamini ubadilishwe, kwa kufuata sera ambayo mthibitishaji anatekeleza. Uaminifu wa mzizi unahitaji jibu lake, kwa sababu nanga inaishi katika hifadhi za uaminifu ambazo huenda usizidhibiti.

Kubali muundo kwa kesi nne madhubuti: kifaa kinachostahili kinasajiliwa, ombi lisiloidhinishwa linakataliwa, mwendeshaji aliyeondolewa hawezi tena kutoa, na mtoaji aliyestaafu haitoi tena ufikiaji. Matokeo hayo manne ni runbook.