VPN sertifikası vermeyi kök anahtar olmadan devredin

Birine VPN istemcilerini kaydetme yeteneği vermek ile ona kök anahtarın taşınabilir bir kopyasını vermek iki farklı eylemdir ve fark ancak o kişi ayrıldığında ya da o anahtar sızdığında görünür. Birincisi kontrol ettiğiniz bir iş akışı içinde işlem verir; ikincisi her yerde, çevrimdışı, süresiz olarak güven yaratma yeteneği verir. Herhangi bir anahtar malzemesine dokunmadan önce işin hangisine ihtiyacı olduğuna karar verin. Bir hiyerarşi diyagramı bu soruyu sizin için yanıtlamaz.

Kayıt işini üç soru olarak yazın: kim talep edebilir, kim onaylar ve veren bileşen neyi imzalayabilir.

Hangi yeteneği verdiğinize karar verin

Veren hizmet, imzalama malzemesini ayrı bir sahipte tutarken bir onay iş akışı sunabilir. Operatör cihaz talebini onaylar, hizmet politikayı uygular ve vermeyi kaydeder ve katılan hiç kimse CA anahtarını tutmaz. İzin verilen kimlikleri, onaylayanları ve hizmetin neyi imzalayabileceğinin kapsamını belgeleyin; ardından yönetimini anahtar kadar dikkatle koruyun. Sertifika imzalama talebi bir taleptir, yetkilendirme kararı değildir.

Donanım destekli depolama, anahtarın kopyalanma riskini değiştirir, yetkilendirme gereksinimini değil. Dışa aktarılamaz olması anahtarın çıkarılamayacağı anlamına gelir ve imzalama arayüzünü çağırabilen herkesin sertifika hakkı olduğu anlamına gelmez. Bu iki özelliği ayrı ayrı değerlendirin.

Ara sertifika yetkiyi sınırlar

Bir kök, günlük verme için bir ara sertifikayı onaylayabilir, böylece rutin iş artık kök anahtara dokunmaz, yeter ki kökün kendi imzalama ve kurtarma prosedürleri korunsun. Bu gerçek bir sınırdır ve bedava değildir: bir sertifika daha, bir anahtar daha, bir yenileme daha ve sürdürülecek bir iptal listesi daha. Yönetim veya risk açısından bilinçli bir sınırı temsil ettiğinde kullanın. Her yönetici için veren oluşturmak her şeyden daha fazlasını üretir ve iş akışının zaten sunmadığı hiçbir şeyi satın almaz.

VPN doğrulayıcılarının zinciri beklediğiniz gibi kurduğunu kontrol edin. Zincir kurulumu için ara sertifika göndermek ile onu doğrudan güvenilen bir çapa olarak kurmak farklı düzenlemelerdir.

pathLen sıfır, düşündüğünüz anlamına gelmez

RFC 5280 bölüm 4.2.1.9 temel kısıtlamaları tanımlar ve yol uzunluğu alanı geçerli bir yolda kaç tane kendi kendine verilmemiş ara sertifikanın izleyebileceğini sınırlar. Sıfır değeri daha fazla ara derinliği kısıtlar; son varlık sertifikalarının sayısını sınırlamaz. İnsanlar bunu sıfır izin verilen sertifika olarak okur ve sonra vermenin neden hâlâ çalıştığını merak eder. Alanı CA'lar için bir derinlik sınırı olarak okuyun, davranış öngörülebilir olur.

Aynı bölüm, güven çapasının yol içindeki sıradan bir sertifika değil, yol doğrulamasına bir girdi olduğunu ima eder. Bu yüzden kendinden imzalı bir kök için iptal girdisi yayımlamak onu her depodan güvenilir biçimde kaldırmaz.

İşten ayrılma bir anahtar ihlali değildir

Ayrılan kişi yalnızca kişisel bir yönetim hesabına sahipse, bu erişimi ve oturumlarını desteklenen kimlik süreci aracılığıyla iptal edin, ardından oluşturduğu etkinliği ve onayları gözden geçirin. Daha önce verilen istemci sertifikaları onaylayanları ayrıldığı için geçersiz olmaz ve onları ihlal olarak görmek büyük, gereksiz bir yeniden kayıt yaratır. Bir hesabı devre dışı bırakmak da kopyalanmış bir imzalama anahtarını geçersiz kılamaz, bu yüzden yanıt hangi yeteneğin tutulduğuna bağlıdır.

Bir ara sertifika ihlal edildiğinde, yetkisi geri çekilmeli ve garanti ettiği her kimlik değiştirilmelidir, doğrulayıcının uyguladığı politikaya göre. Kök güveni kendi yanıtını gerektirir, çünkü çapa kontrol etmeyebileceğiniz güven depolarında yaşar.

Tasarımı dört somut vakayla kabul edin: uygun cihaz kaydolur, onaylanmayan talep reddedilir, kaldırılan operatör artık veremez ve emekliye ayrılan veren artık erişim vermez. Bu dört sonuç runbook'tur.