Ủy quyền cấp chứng chỉ VPN mà không có khóa gốc

Trao cho ai đó năng lực đăng ký máy khách VPN và trao cho họ bản sao có thể mang đi của khóa gốc là hai hành động khác nhau, và sự khác biệt chỉ trở nên rõ ràng khi người đó rời đi hoặc khóa đó bị lộ. Điều thứ nhất cho một thao tác trong quy trình bạn kiểm soát; điều thứ hai cho năng lực tạo dựng niềm tin ở bất cứ đâu, ngoại tuyến, vô thời hạn. Hãy quyết định điều nào công việc cần trước khi chạm vào bất kỳ tài liệu khóa nào. Một sơ đồ phân cấp sẽ không trả lời câu hỏi đó thay bạn.

Viết công việc đăng ký thành ba câu hỏi: ai có thể yêu cầu, ai phê duyệt, và thành phần cấp có thể ký gì.

Quyết định năng lực bạn đang trao

Một dịch vụ cấp có thể phơi bày quy trình phê duyệt trong khi giữ tài liệu ký ở một chủ sở hữu riêng. Người vận hành phê duyệt yêu cầu thiết bị, dịch vụ áp dụng chính sách và ghi lại việc cấp, và không ai liên quan giữ khóa CA. Ghi lại các danh tính được phép, người phê duyệt và phạm vi những gì dịch vụ có thể ký; sau đó bảo vệ việc quản trị của nó cẩn thận như khóa. Yêu cầu ký chứng chỉ là một yêu cầu, không phải quyết định ủy quyền.

Lưu trữ có phần cứng hỗ trợ thay đổi rủi ro khóa bị sao chép, không phải nhu cầu ủy quyền. Không thể xuất nghĩa là khóa không thể lấy ra, và không có nghĩa là bất kỳ ai gọi được giao diện ký đều có quyền nhận chứng chỉ. Đánh giá hai thuộc tính đó riêng rẽ.

Chứng chỉ trung gian giới hạn thẩm quyền

Một gốc có thể chứng nhận một trung gian cho việc cấp hàng ngày, nhờ đó công việc thường nhật không còn chạm vào khóa gốc, miễn là các thủ tục ký và khôi phục của chính gốc vẫn được bảo vệ. Đó là một ranh giới thật và nó không miễn phí: thêm một chứng chỉ, thêm một khóa, thêm một lần gia hạn và thêm một danh sách thu hồi để duy trì. Dùng nó khi nó đại diện cho một ranh giới quản trị hoặc rủi ro có chủ đích. Tạo một nhà cấp cho mỗi quản trị viên sản sinh nhiều hơn mọi thứ và không mua được gì mà quy trình chưa cung cấp.

Kiểm tra rằng các bộ xác minh VPN xây chuỗi như bạn mong đợi. Gửi một trung gian để xây chuỗi và cài nó như một neo được tin cậy trực tiếp là hai cách bố trí khác nhau.

pathLen không có nghĩa là điều bạn nghĩ

RFC 5280 mục 4.2.1.9 định nghĩa các ràng buộc cơ bản, và trường độ dài đường dẫn của nó giới hạn bao nhiêu chứng chỉ trung gian không tự cấp có thể theo sau trong một đường dẫn hợp lệ. Giá trị không hạn chế độ sâu trung gian tiếp theo; nó không giới hạn số chứng chỉ thực thể cuối. Người ta đọc nó như không chứng chỉ nào được phép và rồi tự hỏi tại sao việc cấp vẫn hoạt động. Hãy đọc trường như một giới hạn độ sâu cho CA, và hành vi trở nên dự đoán được.

Cùng mục đó ngụ ý rằng một neo tin cậy là đầu vào cho việc xác thực đường dẫn chứ không phải một chứng chỉ thông thường bên trong đường dẫn. Đó là lý do việc công bố một mục thu hồi cho gốc tự ký không loại bỏ nó một cách đáng tin cậy khỏi mọi kho.

Rời việc không phải là xâm phạm khóa

Khi người rời đi chỉ có một tài khoản quản trị cá nhân, hãy thu hồi quyền truy cập đó và các phiên của nó thông qua quy trình danh tính được hỗ trợ, sau đó xem xét hoạt động và các phê duyệt mà họ đã tạo. Các chứng chỉ máy khách đã cấp trước đó không trở nên vô hiệu vì người phê duyệt của chúng đã rời đi, và việc coi chúng là bị xâm phạm tạo ra một đợt đăng ký lại lớn và không cần thiết. Vô hiệu hóa tài khoản cũng không thể làm mất hiệu lực một khóa ký đã bị sao chép, nên câu trả lời phụ thuộc vào năng lực nào đã được nắm giữ.

Khi một trung gian bị xâm phạm, thẩm quyền của nó phải bị thu hồi và mọi danh tính mà nó bảo lãnh phải được thay thế, theo chính sách mà bộ xác minh áp đặt. Niềm tin vào gốc cần câu trả lời riêng của nó, vì neo sống trong các kho tin cậy mà bạn có thể không kiểm soát.

Chấp nhận thiết kế với bốn trường hợp cụ thể: thiết bị đủ điều kiện đăng ký, yêu cầu không được phê duyệt bị từ chối, người vận hành đã bị loại bỏ không còn cấp được, và nhà cấp đã nghỉ không còn cấp quyền truy cập. Bốn kết quả đó là runbook.