CSR peke yake si usajili: CA ya VPN inapaswa kukagua nini

Ombi la kutia sahihi cheti hubeba ufunguo wa umma na subject iliyoombwa, zilizotiwa sahihi kwa ufunguo wa faragha unaolingana. Sahihi hiyo huthibitisha kuwa mwombaji ana ufunguo. Haithibitishi kuwa mwombaji ana haki ya jina, kifaa au jukumu la VPN linaloombea, na kulichukulia ombi kana kwamba linathibitisha hivyo ndiyo njia ambayo tiketi ya dawati la msaada inakuwa utoaji wa ufikiaji.

Mifano miwili ya usajili inafaa kulinganishwa kwa kile inachofunga, si kwa itifaki inayozungumza.

Ombi hudai jina, halithibitishi

Soma ombi kwa kile kilichomo kweli: ufunguo wa umma, subject aliyochagua mwombaji, na sahihi ya kibinafsi juu ya vyote viwili. Hakuna kitu katika muundo huo kinachorejelea orodha yako ya vifaa, saraka ya akaunti au mtiririko wa uidhinishaji. Subject kama cn=finance-laptop ni mfuatano wa herufi alioandika mtu. Hadi mchakato wa utoaji uangalie mfuatano huo dhidi ya rekodi inayoiamini, cheti ni madai yenye sahihi iliyoambatishwa. Tofauti hiyo ndiyo sababu yote ya mchakato wa usajili kuwepo.

Matokeo yake ni muhimu kiutendaji. Mamlaka ya vyeti haihitaji kamwe ufunguo wa faragha wa mteja kutoa cheti, na mtiririko unaoomba mmoja umechanganya utiaji sahihi na uhifadhi wa funguo. Weka uundaji kwenye kituo cha mwisho na tuma nusu ya umma pekee.

Linganisha mifano kwa kile inachofunga

Utiaji sahihi wa mkono hufunga kile ambacho mwendeshaji anakumbuka kukagua. Huduma ya usajili iliyojengewa otomatiki hufunga ombi lililothibitishwa kwenye uamuzi ambao huduma inaweza kutekeleza, na RFC 7030 inaeleza muundo mmoja kama huo ambapo mteja hujithibitisha kabla cheti kikarudishwa. Tofauti inayostahimili ukaguzi si uotomatiki; ni kama ukaguzi wa utambulisho hufanyika ndani ya njia ya utoaji au kando yake.

Mifano yote miwili bado inapaswa kujibu maswali matatu yale yale. Nani anaomba, kwenye kifaa au jukumu gani, na kwa muda gani. Mfumo wa tiketi unaorekodi majibu hufanya kazi halisi; foleni ambayo mtu anatazama jina la kawaida haifanyi, hata cheti kipangiliwe kwa uangalifu kiasi gani baadaye.

Chagua mfano kwa idadi ya usajili unaotarajia na kwa mzunguko wa vifaa. Seva chache kwa mwaka zinaweza kustahimili ukaguzi wa mkono kwa orodha ya ukaguzi iliyoandikwa. Kundi la kompyuta za mkononi haliwezi.

Rekodi mzunguko wa maisha tangu utoaji wa kwanza

Hifadhi kitambulisho cha cheti, mmiliki, matumizi yaliyokusudiwa, muda wa kuisha na njia ya kuondoa wakati wa utoaji, si katika tukio la kwanza. Matumizi yaliyokusudiwa yanapaswa kuwa ndani ya cheti chenyewe kupitia matumizi yaliyopanuliwa ya ufunguo, na rekodi inapaswa kuafikiana nayo. Cheti kilichoundwa kwa uthibitishaji wa mteja hakipaswi kuwa kisichoweza kutofautishwa na kile cha seva.

Panga uboreshaji na kufuta kifaa kilichopotea kabla ya kutoa wasifu wa kumi. Cheti kinachoshirikiwa katika idara kugeuza uondoaji lengo kuwa kukatizika, na uamuzi huo ni wa bei ndogo sana kuurejea sasa kuliko wakati wa tukio la Ijumaa.

Kagua cheti kilichotolewa, kisha ufikiaji

Baada ya usajili, angalia kilichotolewa na uthibitisha kwamba kinaunganishwa mnyororo hadi mamlaka unayotarajia. Amri mbili hushughulikia makosa ya kawaida: cheti chenye matumizi yasiyofaa, na mnyororo unaofanya kazi kwa sababu tu mteja amesanidiwa kupuuza uthibitishaji.

openssl req -in client.csr -noout -verify -subject
openssl x509 -in client.crt -noout -subject -issuer -dates -ext extendedKeyUsage
openssl verify -CAfile ca.crt client.crt

Kisha jaribu ufikiaji badala ya kifaa cha kazi. Cheti huweka utambulisho, na sera bado huamua ni huduma gani utambulisho huo unaweza kufikia. Angalia vyote viwili, kwa sababu kifaa sahihi cha kazi kilicho na sera pana mno pia hushindwa kwenye ukaguzi. Thibitisha kuwa mteja hujithibitisha na hupokea njia au rasilimali zilizokusudiwa pekee. Andika kile ulichoona, si kile wasifu ulipaswa kufanya.

Wasifu unaofanya kazi kwa sababu isiyofaa, kama jina la kawaida linalolingana na hakuna ukaguzi wa utambulisho, utaendelea kufanya kazi baada ya udhibiti uliodhani unayo kuondolewa.