มอบหมายการออกใบรับรอง VPN โดยไม่ใช้คีย์ราก

การให้ความสามารถแก่ใครคนหนึ่งในการลงทะเบียนไคลเอนต์ VPN และการให้สำเนาคีย์รากที่พกพาได้แก่เขาเป็นสองการกระทำที่ต่างกัน และความต่างจะปรากฏก็ต่อเมื่อคนนั้นจากไปหรือคีย์นั้นรั่วไหล อย่างแรกให้การดำเนินการภายในเวิร์กโฟลว์ที่คุณควบคุม อย่างที่สองให้ความสามารถในการสร้างความไว้วางใจได้ทุกที่ แบบออฟไลน์ ไม่มีกำหนด กำหนดว่าต้องการอย่างไหนก่อนแตะวัสดุคีย์ใด ๆ แผนภาพลำดับชั้นจะไม่ตอบคำถามนั้นแทนคุณ

เขียนงานลงทะเบียนเป็นสามคำถาม ใครขอได้ ใครอนุมัติ และองค์ประกอบที่ออกให้ลงนามอะไรได้

กำหนดว่าคุณให้ความสามารถใด

บริการที่ออกใบรับรองสามารถเปิดเผยเวิร์กโฟลว์การอนุมัติ โดยเก็บวัสดุการลงนามไว้กับเจ้าของแยก ผู้ปฏิบัติงานอนุมัติคำขออุปกรณ์ บริการใช้นโยบายและบันทึกการออก และไม่มีผู้เกี่ยวข้องคนใดถือคีย์ CA จัดทำเอกสารตัวตนที่ได้รับอนุญาต ผู้อนุมัติ และขอบเขตสิ่งที่บริการลงนามได้ จากนั้นปกป้องการดูแลระบบอย่างระมัดระวังเท่ากับคีย์ คำขอลงนามใบรับรองเป็นคำขอ ไม่ใช่การตัดสินใจอนุญาต

ที่เก็บข้อมูลที่รองรับด้วยฮาร์ดแวร์เปลี่ยน ความเสี่ยงที่คีย์จะถูกคัดลอก ไม่ใช่ความจำเป็นในการอนุญาต ส่งออกไม่ได้หมายความว่าคีย์ถูกนำออกไม่ได้ และไม่ได้หมายความว่าใครก็ตามที่เรียกอินเทอร์เฟสการลงนามมีสิทธิได้ใบรับรอง ประเมินคุณสมบัติสองข้อนั้นแยกกัน

ใบรับรองระดับกลางจำกัดอำนาจ

รากสามารถรับรองใบรับรองระดับกลางสำหรับการออกประจำวันได้ งานประจำจึงไม่แตะคีย์รากอีก ตราบใดที่ขั้นตอนการลงนามและการกู้คืนของรากเองยังได้รับการปกป้อง นี่คือขอบเขตจริงและไม่ฟรี ใบรับรองอีกใบ คีย์อีกดอก การต่ออายุอีกครั้ง และรายการเพิกถอนอีกฉบับที่ต้องดูแล ใช้เมื่อมันแทนขอบเขตการบริหารหรือความเสี่ยงที่ตั้งใจ สร้างผู้ออกให้ทุกผู้ดูแลจะผลิตทุกอย่างเพิ่มขึ้นและไม่ซื้ออะไรที่เวิร์กโฟลว์ไม่ได้ให้อยู่แล้ว

ตรวจสอบว่าตัวตรวจสอบ VPN สร้างห่วงโซ่ตามที่คุณคาดหวัง การส่งใบรับรองระดับกลางไปสร้างห่วงโซ่และการติดตั้งเป็นสมอที่เชื่อถือโดยตรงเป็นสองการจัดวางที่ต่างกัน

pathLen ศูนย์ไม่ได้หมายความอย่างที่คุณคิด

RFC 5280 ข้อ 4.2.1.9 นิยามข้อจำกัดพื้นฐาน และฟิลด์ความยาวเส้นทางจำกัดจำนวนใบรับรองระดับกลางที่ไม่ได้ออกให้ตัวเองซึ่งตามมาในเส้นทางที่ใช้ได้ ค่าศูนย์จำกัดความลึกระดับกลางต่อไป ไม่ได้จำกัดจำนวนใบรับรองขององค์กรปลายทาง ผู้คนอ่านว่าใบรับรองที่อนุญาตเป็นศูนย์แล้วสงสัยว่าทำไมการออกยังทำงาน อ่านฟิลด์เป็นขีดจำกัดความลึกสำหรับ CA และพฤติกรรมจะคาดเดาได้

ข้อเดียวกันบ่งชี้ว่าสมอความไว้วางใจเป็นอินพุตของการตรวจสอบเส้นทาง ไม่ใช่ใบรับรองธรรมดาภายในเส้นทาง นั่นคือเหตุผลที่การเผยแพร่รายการเพิกถอนสำหรับรากที่ลงนามตัวเองไม่ได้ลบออกจากทุกที่เก็บอย่างน่าเชื่อถือ

การลาออกไม่ใช่การถูกบุกรุกคีย์

เมื่อผู้จากไปมีเพียงบัญชีบริหารส่วนบุคคล ให้เพิกถอนการเข้าถึงและเซสชันผ่านกระบวนการระบุตัวตนที่รองรับ แล้วทบทวนกิจกรรมและการอนุมัติที่เขาสร้าง ใบรับรองไคลเอนต์ที่ออกก่อนไม่กลายเป็นโมฆะเพราะผู้อนุมัติจากไป และการถือว่าเป็นการถูกบุกรุกสร้างการลงทะเบียนใหม่ที่ใหญ่และไม่จำเป็น การปิดใช้งานบัญชีก็ไม่อาจทำให้คีย์ลงนามที่ถูกคัดลอกเป็นโมฆะ คำตอบจึงขึ้นกับว่าถือความสามารถใดอยู่

เมื่อใบรับรองระดับกลางถูกบุกรุก อำนาจของมันต้องถูกถอนและตัวตนทุกตัวที่มันรับประกันต้องถูกแทนที่ ตามนโยบายที่ตัวตรวจสอบบังคับใช้ ความไว้วางใจรากต้องมีคำตอบของตัวเอง เพราะสมออาศัยอยู่ในที่เก็บความไว้วางใจที่คุณอาจไม่ได้ควบคุม

ยอมรับการออกแบบด้วยสี่กรณีที่ชัดเจน อุปกรณ์ที่มีคุณสมบัติลงทะเบียน คำขอที่ไม่อนุมัติถูกปฏิเสธ ผู้ปฏิบัติงานที่ถูกถอดออกออกใบรับรองไม่ได้อีก และผู้ออกที่ปลดเกษียณไม่ให้การเข้าถึงอีก ผลลัพธ์สี่ข้อนั้นคือรันบุ๊ก