VPN sertifikatlarini ildiz kalitisiz berishni topshiring
Sertifikat berish ruxsat; ildiz kalitini saqlash qobiliyat. Oraliq sertifikat birinchisini cheklaydi, hisobni olib tashlash esa buzilish emas.
Kimgadir VPN mijozlarini ro'yxatga olish qobiliyatini berish va unga ildiz kalitining ko'chiriladigan nusxasini berish ikki xil harakat, va farq faqat o'sha odam ketganda yoki o'sha kalit oqib ketganda ko'rinadi. Birinchisi siz nazorat qiladigan ish jarayoni ichida amal beradi; ikkinchisi istalgan joyda, oflayn, cheksiz muddatga ishonch yaratish qobiliyatini beradi. Har qanday kalit materialiga tegishdan oldin ishga qaysi biri kerakligini hal qiling. Ierarxiya diagrammasi bu savolga siz uchun javob bermaydi.
Ro'yxatga olish ishini uchta savol sifatida yozing: kim so'rov yubora oladi, kim tasdiqlaydi va beruvchi komponent nimaga imzo cheka oladi.
Qaysi qobiliyatni berayotganingizni hal qiling
Beruvchi xizmat imzo materialini alohida egasida saqlagan holda tasdiqlash jarayonini ko'rsatishi mumkin. Operator qurilma so'rovini tasdiqlaydi, xizmat siyosatni qo'llaydi va berishni qayd etadi, va ishtirok etgan hech kim CA kalitini saqlamaydi. Ruxsat etilgan identifikatsiyalar, tasdiqlovchilar va xizmat imzo cheka oladigan doirani hujjatlashtiring; so'ng uning boshqaruvini kalit kabi ehtiyotkorlik bilan himoya qiling. Sertifikat imzolash so'rovi bu so'rov, avtorizatsiya qarori emas.
Apparat tomonidan qo'llab-quvvatlanadigan saqlash kalitning nusxalanish xavfini o'zgartiradi, avtorizatsiya zaruratini emas. Eksport qilinmaslik kalitni olib chiqib bo'lmaydi degani, va bu imzo interfeysini chaqira oladigan har kimning sertifikatga haqqi bor degani emas. Bu ikki xususiyatni alohida baholang.
Oraliq sertifikat vakolatni cheklaydi
Ildiz kundalik berish uchun oraliq sertifikatni tasdiqlashi mumkin, shunda muntazam ish endi ildiz kalitiga tegmaydi, ildizning o'z imzolash va tiklash tartiblari himoyalangan bo'lsa. Bu haqiqiy chegara va bepul emas: yana bitta sertifikat, yana bitta kalit, yana bitta yangilash va saqlash uchun yana bitta bekor qilish ro'yxati. Uni ongli ravishda boshqaruv yoki xavf chegarasini ifodalaganda ishlating. Har bir administrator uchun beruvchi yaratish hamma narsadan ko'proq ishlab chiqaradi va ish jarayoni bermagan hech narsani sotib olmaydi.
VPN tekshiruvchilari zanjirni siz kutgandek qurayotganini tekshiring. Zanjir qurish uchun oraliq sertifikat yuborish va uni to'g'ridan-to'g'ri ishonchli langar sifatida o'rnatish ikki xil tartib.
pathLen nol siz o'ylagan narsani anglatmaydi
RFC 5280 4.2.1.9 bo'limi asosiy cheklovlarni belgilaydi, va uning yo'l uzunligi maydoni amaldagi yo'lda qancha o'z-o'zini bermagan oraliq sertifikat keta olishini cheklaydi. Nol qiymati keyingi oraliq chuqurlikni cheklaydi; u oxirgi sub'ekt sertifikatlari sonini cheklamaydi. Odamlar buni nol ruxsat etilgan sertifikat deb o'qiydi va keyin berish nega hali ishlayotganiga hayron bo'ladi. Maydonni CA lar uchun chuqurlik chegarasi sifatida o'qing, va xatti-harakat bashorat qilinadigan bo'ladi.
Xuddi shu bo'lim ishonch langari yo'l ichidagi oddiy sertifikat emas, yo'lni tekshirish uchun kirish ekanini bildiradi. Shuning uchun o'z-o'zini imzolagan ildiz uchun bekor qilish yozuvini e'lon qilish uni har bir ombordan ishonchli tarzda olib tashlamaydi.
Ishdan ketish kalitning buzilishi emas
Ketayotgan odam faqat shaxsiy boshqaruv hisobiga ega bo'lsa, o'sha kirish va uning seanslarini qo'llab-quvvatlanadigan identifikatsiya jarayoni orqali bekor qiling, so'ng u yaratgan faoliyat va tasdiqlarni ko'rib chiqing. Ilgari berilgan mijoz sertifikatlari ularning tasdiqlovchisi ketgani uchun yaroqsiz bo'lmaydi, va ularni buzilish deb hisoblash katta, keraksiz qayta ro'yxatga olishni keltirib chiqaradi. Hisobni o'chirish ham nusxalangan imzo kalitini bekor qila olmaydi, shuning uchun javob qaysi qobiliyat saqlanganiga bog'liq.
Oraliq sertifikat buzilganda, uning avtorizatsiyasi qaytarib olinishi va u kafolat bergan har bir identifikatsiya almashtirilishi kerak, tekshiruvchi qo'llaydigan siyosatga muvofiq. Ildiz ishonchi o'z javobini talab qiladi, chunki langar siz nazorat qilmasligingiz mumkin bo'lgan ishonch omborlarida yashaydi.
Dizaynni to'rt aniq holat bilan qabul qiling: mos qurilma ro'yxatdan o'tadi, tasdiqlanmagan so'rov rad etiladi, olib tashlangan operator endi bera olmaydi, va iste'foga chiqqan beruvchi endi kirish bermaydi. O'sha to'rt natija runbook.