Chứng chỉ cho một trang chỉ dùng VPN: DNS-01 hay CA riêng?

Ba điều kiện quyết định cách một trang chỉ truy cập qua VPN nên lấy chứng chỉ: bạn có kiểm soát vùng DNS công khai không, tên máy chủ có được xuất hiện trong nhật ký công khai không, và mỗi máy khách có được cấp một neo tin cậy riêng không. Đường công khai và đường riêng đều tạo ra ổ khóa hoạt động được và chúng trả lời những câu hỏi khác nhau. Chọn một mà không giải quyết các điều kiện đó là cách một trang rơi vào chứng chỉ công khai mà nó không muốn, hoặc một chứng chỉ nội bộ mà nửa số máy khách từ chối.

Chứng chỉ chứng minh tên; VPN và DNS nội bộ cung cấp đường đi.

Hai đường đến một tên đáng tin cậy

Một nhà phát hành công khai với xác thực DNS-01 chứng minh quyền kiểm soát một tên qua bản ghi TXT trong vùng bạn kiểm soát, nên dịch vụ web không bao giờ phải chấp nhận kết nối HTTP công khai. CA riêng phát hành chứng chỉ lá cho tên nội bộ và phân phối neo tin cậy của nó qua quản lý thiết bị, nên không nhật ký công khai nào biết tên đó. Cả hai đều hợp lệ, và lựa chọn đến từ ba điều kiện đó chứ không phải từ sự tiện lợi. Không đường nào cung cấp tuyến hay mục phân giải mà máy khách cần.

Chứng chỉ công khai cũng công bố tên máy chủ trong nhật ký minh bạch chứng chỉ. Nếu bản thân tên là nhạy cảm, việc tiết lộ đó là một quyết định thiết kế, không phải tác dụng phụ phát hiện sau này.

DNS-01 mà không lộ dịch vụ

Bản ghi thử thách là một mục TXT dưới một tiền tố dành riêng trong vùng, và nhà phát hành đọc nó từ DNS có thẩm quyền. Chọn một máy khách ACME và tích hợp DNS có thể tạo và xóa bản ghi đó, và cấp quyền cập nhật hẹp: thông tin API giới hạn phạm vi cho vùng, hoặc một máy chủ được kiểm soát chỉ dùng để xác thực. Cấp cho máy chủ ứng dụng thông tin nhà đăng ký không giới hạn để gia hạn một chứng chỉ là quyền hạn lớn hơn nhiều so với yêu cầu của công việc. Khi nhiều đơn hàng chia sẻ một tên, giữ các giá trị TXT của chúng tách biệt để việc dọn một cái không xóa giá trị mà cái khác vẫn cần.

Chờ lan truyền bằng cách kiểm tra với các máy chủ có thẩm quyền thay vì chờ cố định. Hành vi lan truyền phụ thuộc nhà cung cấp, và một khoảng chờ hiệu quả hôm nay không phải bằng chứng cho ngày mai.

Máy khách được quản lý và tên cố ý riêng tư

Thiết bị được quản lý và tên cố ý riêng tư rất hợp với CA nội bộ. Phân phối nhà phát hành tin cậy qua quản lý thiết bị, rồi phát hành chứng chỉ lá cho những tên dự định. Kiểm tra kho nào mỗi máy khách thực sự dùng, vì một lần nhập vào hệ điều hành không phải tuyên bố phổ quát về mọi trình duyệt và ứng dụng. Ghim lá là một lựa chọn khác ở nơi được hỗ trợ rõ ràng, với cái giá là thêm một lần cập nhật tin cậy mỗi khi lá thay đổi.

Kênh phân phối quan trọng như chìa khóa: một gốc mà không ai cài đặt thì không bảo vệ được gì.

Gia hạn là một phần của thiết kế

Dù chọn đường nào, việc gia hạn cần một người phụ trách và một quy trình. Làm mới bằng chứng xác thực, cài đặt vật liệu mới và tải lại trình lắng nghe qua cơ chế được hỗ trợ của nó là ba bước riêng biệt, và chỉ bước đầu được hầu hết máy khách ACME tự động hóa. Một chứng chỉ gia hạn đúng nhưng không bao giờ được tải sẽ gây ra sự cố giống như chứng chỉ đã hết hạn.

Chứng chỉ không cài tuyến VPN và không tạo bản ghi DNS nội bộ. Máy khách vẫn cần một trình phân giải ánh xạ tên sang địa chỉ riêng và một tuyến để đến đó. Hãy thử trang theo tên từ một máy khách có cả hai.

Ghi lại nhà phát hành, phương thức xác thực, kênh phân phối tin cậy và cơ chế tải lại. Bốn điều đó là kế hoạch gia hạn.