I-delegate ang pag-isyu ng mga sertipiko ng VPN nang walang root key

Ang bigyan ang isang tao ng kakayahang magrehistro ng mga kliyente ng VPN at bigyan siya ng naipapasa na kopya ng root key ay dalawang magkaibang gawa, at ang pagkakaiba ay makikita lamang kapag umalis ang taong iyon o tumagas ang key na iyon. Ang una ay nagbibigay ng operasyon sa loob ng workflow na kontrolado mo; ang pangalawa ay nagbibigay ng kakayahang lumikha ng tiwala kahit saan, offline, nang walang hangganan. Magpasya kung alin ang kailangan ng trabaho bago hawakan ang anumang materyal ng key. Hindi sasagot ng diagram ng hierarchy sa tanong na iyon para sa iyo.

Isulat ang trabaho ng pagpaparehistro bilang tatlong tanong: sino ang makakahiling, sino ang nag-aapruba, at ano ang maaaring lagdaan ng naglalabas na bahagi.

Magpasya kung anong kakayahan ang ibinibigay mo

Ang naglalabas na serbisyo ay maaaring maglantad ng workflow ng pag-apruba habang inihahawak ang materyal ng paglagda sa hiwalay na may-ari. Ang isang operator ay nag-aapruba ng kahilingan ng device, inilalapat ng serbisyo ang patakaran at itinatala ang pag-isyu, at walang kasangkot ang humahawak ng CA key. Idokumento ang pinapayagang pagkakakilanlan, ang mga nag-aapruba, at ang saklaw ng maaaring lagdaan ng serbisyo; pagkatapos ay protektahan ang pangangasiwa nito nang kasing-ingat ng key. Ang kahilingan sa paglagda ng sertipiko ay isang kahilingan, hindi isang desisyon sa awtorisasyon.

Binabago ng imbakan na sinusuportahan ng hardware ang panganib na makopya ang key, hindi ang pangangailangan ng awtorisasyon. Ang hindi ma-export ay nangangahulugang hindi mailalabas ang key, at hindi ito nangangahulugang sinumang makatawag sa interface ng paglagda ay may karapatan sa sertipiko. Suriin ang dalawang katangiang iyon nang hiwalay.

Nililimitahan ng intermediate na sertipiko ang awtoridad

Maaaring sertipikahin ng root ang isang intermediate para sa pang-araw-araw na pag-isyu, kaya hindi na hinahawakan ng rutinang trabaho ang root key, hangga't nananatiling protektado ang sariling mga pamamaraan ng paglagda at pagbawi ng root. Tunay na hangganan ito at hindi libre: isa pang sertipiko, isa pang key, isa pang pag-renew at isa pang listahan ng pagpapawalang-bisa na dapat panatilihin. Gamitin ito kapag kumakatawan ito sa sadyang hangganan ng pamamahala o panganib. Ang paglikha ng naglalabas sa bawat administrador ay gumagawa ng mas marami sa lahat at hindi bumibili ng anumang hindi na ibinibigay ng workflow.

Tiyakin na binubuo ng mga tagapagpatunay ng VPN ang kadena ayon sa inaasahan mo. Ang pagpapadala ng intermediate para sa pagbuo ng kadena at ang pag-install nito bilang direktang pinagkakatiwalaang angkla ay magkaibang kaayusan.

Ang pathLen na sero ay hindi ang iniisip mo

Ang RFC 5280 seksyon 4.2.1.9 ay tumutukoy sa mga pangunahing paghihigpit, at nililimitahan ng field ng haba ng landas kung ilang intermediate na sertipikong hindi sariling inilabas ang maaaring sumunod sa isang wastong landas. Ang halagang sero ay naghihigpit ng karagdagang intermediate na lalim; hindi nito nililimitahan ang bilang ng mga sertipiko ng dulong entidad. Binabasa ito ng mga tao bilang sero na pinapayagang sertipiko at pagkatapos ay nagtataka kung bakit gumagana pa rin ang pag-isyu. Basahin ang field bilang hangganan ng lalim para sa mga CA, at nagiging mahulaan ang pag-uugali.

Ipinahihiwatig ng parehong seksyon na ang angkla ng tiwala ay isang input sa pagpapatunay ng landas, hindi isang ordinaryong sertipiko sa loob ng landas. Iyon ang dahilan kung bakit ang paglalathala ng entry ng pagpapawalang-bisa para sa sariling-lagda na root ay hindi ito nag-aalis nang mapagkakatiwalaan mula sa bawat imbakan.

Ang pag-alis sa trabaho ay hindi kompromiso ng key

Kung ang umaalis ay mayroon lamang personal na account sa pamamahala, bawiin ang pag-access na iyon at ang mga sesyon nito sa pamamagitan ng sinusuportahang proseso ng pagkakakilanlan, pagkatapos ay suriin ang aktibidad at mga aprubadong nalikha niya. Ang mga dating inilabas na sertipiko ng kliyente ay hindi nagiging di-wasto dahil umalis ang nag-apruba sa mga ito, at ang pagtrato sa mga ito bilang kompromiso ay lumilikha ng malaki at di-kinakailangang muling pagpaparehistro. Ang pag-disable ng account ay hindi rin maaaring magpawalang-bisa ng nakopyang key ng paglagda, kaya ang tugon ay depende sa kung anong kakayahan ang hawak.

Kapag ang isang intermediate ay nakompromiso, dapat bawiin ang awtorisasyon nito at palitan ang bawat pagkakakilanlang ginagarantiyahan nito, ayon sa patakarang ipinapatupad ng tagapagpatunay. Kailangan ng tiwala sa root ang sarili nitong tugon, dahil ang angkla ay naninirahan sa mga imbakan ng tiwala na maaaring hindi mo kontrolado.

Tanggapin ang disenyo na may apat na konkretong kaso: nagpapatala ang karapat-dapat na device, tinatanggihan ang hindi aprubadong kahilingan, hindi na makakalabas ang tinanggal na operator, at hindi na nagbibigay ng pag-access ang retiradong naglalabas. Ang apat na resultang iyon ang runbook.