ใบรับรองสำหรับเว็บไซต์ที่เข้าถึงผ่าน VPN เท่านั้น: DNS-01 หรือ CA ส่วนตัว?

เงื่อนไขสามข้อกำหนดว่าเว็บไซต์ที่เข้าถึงได้ผ่าน VPN เท่านั้นควรได้รับใบรับรองอย่างไร: คุณควบคุมโซน DNS สาธารณะหรือไม่ ชื่อโฮสต์ปรากฏในบันทึกสาธารณะได้หรือไม่ และไคลเอนต์ทุกตัวได้รับจุดยึดความเชื่อถือแบบส่วนตัวได้หรือไม่ ทั้งเส้นทางสาธารณะและเส้นทางส่วนตัวต่างสร้างกุญแจล็อกที่ใช้งานได้และตอบคำถามต่างกัน การเลือกเส้นทางใดเส้นทางหนึ่งโดยไม่ชี้ขาดเงื่อนไขเหล่านี้คือวิธีที่เว็บไซต์ลงเอยด้วยใบรับรองสาธารณะที่ไม่ต้องการ หรือ ใบรับรองภายในที่ไคลเอนต์ครึ่งหนึ่งปฏิเสธ.

ใบรับรองพิสูจน์ชื่อ VPN และ DNS ภายในเป็นผู้ให้เส้นทาง

สองเส้นทางสู่ชื่อที่เชื่อถือได้

ผู้ออกใบรับรองสาธารณะที่ใช้การตรวจสอบ DNS-01 พิสูจน์การควบคุมชื่อผ่านระเบียน TXT ในโซนที่คุณควบคุม บริการเว็บจึงไม่ต้องยอมรับการเชื่อมต่อ HTTP สาธารณะเลย CA ส่วนตัวออกใบรับรองใบให้ชื่อภายในและเผยแพร่จุดยึดความเชื่อถือผ่านการจัดการอุปกรณ์ จึงไม่มีบันทึกสาธารณะใดรู้ชื่อ ทั้งสองวิธีชอบด้วยกฎหมาย และการเลือกเกิดจากเงื่อนไขสามข้อนั้นไม่ใช่ความสะดวก ไม่มีเส้นทางใดให้เส้นทางหรือรายการตัวแก้ไขชื่อที่ไคลเอนต์ต้องการ

ใบรับรองสาธารณะยังเผยแพร่ชื่อโฮสต์ในบันทึกความโปร่งใสของใบรับรอง หากชื่อเองอ่อนไหว การเปิดเผยนั้นเป็นการตัดสินใจออกแบบ ไม่ใช่ผลข้างเคียงที่ค้นพบภายหลัง

DNS-01 โดยไม่เปิดเผยบริการ

ระเบียนการท้าทายคือรายการ TXT ภายใต้คำนำหน้าที่สงวนไว้ในโซน และผู้ออกใบรับรองอ่านจาก DNS ที่เป็นทางการ เลือกไคลเอนต์ ACME และการเชื่อมต่อ DNS ที่สร้างและลบระเบียนนั้นได้ และอนุญาตการอัปเดตอย่างแคบ: ข้อมูลรับรอง API ที่จำกัดขอบเขตสำหรับโซน หรือโฮสต์ที่ควบคุมได้ซึ่งใช้เพื่อการตรวจสอบเท่านั้น การให้ข้อมูลรับรองผู้จดทะเบียนแบบไม่จำกัดแก่เซิร์ฟเวอร์แอปพลิเคชันเพื่อต่ออายุใบรับรองเดียวเป็นอำนาจมากกว่าที่งานต้องการมาก เมื่อคำสั่งซื้อหลายรายการใช้ชื่อร่วมกัน ให้แยกค่า TXT ไว้ เพื่อการล้างอันหนึ่งจะไม่ลบค่าที่อีกอันยังต้องการ

รอการแพร่กระจายด้วยการตรวจสอบกับเซิร์ฟเวอร์ที่เป็นทางการแทนการหน่วงเวลาคงที่ พฤติกรรมการแพร่กระจายขึ้นอยู่กับผู้ให้บริการ และการหน่วงที่ได้ผลวันนี้ไม่ใช่หลักฐานเกี่ยวกับพรุ่งนี้

ไคลเอนต์ที่จัดการและชื่อที่เป็นส่วนตัวโดยเจตนา

อุปกรณ์ที่จัดการและชื่อที่เป็นส่วนตัวโดยเจตนาเข้ากับ CA ภายในได้ดี เผยแพร่ผู้ออกใบรับรองที่เชื่อถือได้ผ่านการจัดการอุปกรณ์ แล้วออกใบรับรองใบสำหรับชื่อที่ตั้งใจ ตรวจสอบว่าไคลเอนต์แต่ละตัวใช้ที่เก็บใดจริง เพราะการนำเข้าเพียงครั้งเดียวในระบบปฏิบัติการไม่ใช่ข้อกล่าวอ้างทั่วไปเกี่ยวกับทุกเบราว์เซอร์และแอปพลิเคชัน การปักหมุดใบเป็นอีกทางเลือกในที่ที่รองรับอย่างชัดเจน โดยมีค่าใช้จ่ายเป็นการอัปเดตความเชื่อถืออีกครั้งทุกครั้งที่ใบเปลี่ยน

ช่องทางการเผยแพร่สำคัญพอ ๆ กับกุญแจ: รากที่ไม่มีใครติดตั้งไม่ได้ปกป้องอะไรเลย

การต่ออายุเป็นส่วนหนึ่งของการออกแบบ

ไม่ว่าจะเลือกเส้นทางใด การต่ออายุต้องมีเจ้าของและขั้นตอน การรีเฟรชหลักฐานการตรวจสอบ ติดตั้งวัสดุใหม่ และโหลดตัวรับฟังใหม่ผ่านกลไกที่รองรับเป็นสามขั้นตอนแยกกัน และมีเพียงขั้นแรกที่ไคลเอนต์ ACME ส่วนใหญ่ทำให้อัตโนมัติ ใบรับรองที่ต่ออายุอย่างถูกต้องแต่ไม่เคยถูกโหลดก่อให้เกิดการหยุดชะงักเช่นเดียวกับใบที่หมดอายุ

ใบรับรองไม่ได้ติดตั้งเส้นทาง VPN และไม่ได้สร้างระเบียน DNS ภายใน ไคลเอนต์ยังต้องมีตัวแก้ไขชื่อที่แมปชื่อไปยังที่อยู่ส่วนตัวและเส้นทางเพื่อไปถึงที่นั่น ทดสอบเว็บไซต์ตามชื่อจากไคลเอนต์ที่มีทั้งสองอย่าง

บันทึกผู้ออกใบรับรอง วิธีการตรวจสอบ ช่องทางการเผยแพร่ความเชื่อถือ และกลไกการโหลดใหม่ ทั้งสี่ข้อคือแผนการต่ออายุ