Postilaatikkoon tulee varmennepyyntö: toimittaja tarvitsee asiakasvarmenteesi, uusi kuormantasaaja tarvitsee wildcard-varmenteen tai työkaveri tarvitsee allekirjoitusvarmenteen julkaisun koontia varten. Pyydetty tiedosto voi olla harmiton, tai se voi olla yksityinen avain, jolla kuka tahansa voi esiintyä palvelunasi. Usein molemmat kulkevat samassa paketissa.
Yksityinen varmenne jaetaan turvallisesti suojatulla linkillä näin: selvitä ensin, kumpaa puolikasta todella tarvitaan, pakkaa yksityinen avain niin, ettei sitä voi käyttää ilman salasanaa, lähetä tiedosto kertakäyttölinkillä, joka tuhoutuu yhden latauksen jälkeen, ja lähetä salasana muuta reittiä. Tämä opas käy vaiheet läpi komentoineen.
Varmenne on julkinen, avain ei
Varmenteessa on julkinen avain, kohde, jolle se on myönnetty, myöntäjä ja voimassaolopäivät. Se on tarkoitettu jaettavaksi: jokainen sivustollesi yhdistävä selain saa sen. Yksityinen avain on erillinen salaisuus, joka todistaa, että varmenne on sinun. Sen haltija voi purkaa sinulle tarkoitetun liikenteen salauksen, allekirjoittaa asioita nimissäsi tai pystyttää palvelimen, joka väittää olevansa sinä.
Ensimmäinen kysymys on siis, tarvitseeko vastaanottaja avainta lainkaan.
| Vastaanottaja haluaa | Hän tarvitsee | Arkaluonteinen? |
|---|---|---|
| Luottaa palveluusi tai tarkistaa allekirjoituksen | Varmenteen (ja ehkä CA-ketjun) | Ei |
| Asentaa TLS:n ylläpitämälleen palvelimelle tai laitteelle | Varmenteen, ketjun ja yksityisen avaimen | Kyllä |
| Allekirjoittaa koodia tai asiakirjoja organisaatiosi nimissä | Varmenteen ja yksityisen avaimen | Kyllä, erittäin |
| Tunnistautua järjestelmään asiakasvarmenteella | Varmenteen ja yksityisen avaimen | Kyllä |
Jos vastaus on ensimmäinen rivi, lähetä .crt- tai .cer-tiedosto millä tavalla haluat, eikä sinun tarvitse lukea pidemmälle. Kaikki alla oleva koskee rivejä, joissa avaimen täytyy siirtyä.
Tarkista tiedoston sisältö ennen lähettämistä
Tiedostopäätteet johtavat harhaan. .pem voi sisältää varmenteen, avaimen tai molemmat. .pfx tai .p12 niputtaa yleensä varmenteen, ketjun ja avaimen salasanan taakse. Tarkista ennen lähettämistä:
# what is in this PEM?
openssl x509 -in cert.pem -noout -subject -issuer -dates
grep -c "PRIVATE KEY" cert.pem # 0 means no key inside
# what is in this PFX? (prompts for the password)
openssl pkcs12 -in bundle.pfx -info -noout
Varmista, että kohde vastaa sitä, mitä vastaanottaja pyysi, ja että vanhenemispäivä on tulevaisuudessa. Väärän varmenteen lähettäminen on yleistä. Väärän varmenteen lähettäminen avaimineen on tietoturvaloukkaus.
Pakkaa avain niin, ettei se yksinään kelpaa mihinkään
Jos avaimen täytyy siirtyä, älä koskaan lähetä sitä sellaisenaan. Tallenna se muotoon, joka on salattu salasanalla, jonka lähetät erikseen.
# bundle certificate, chain and key into a password-protected PFX
openssl pkcs12 -export -out service.pfx \
-inkey service.key -in service.crt -certfile chain.crt
# or encrypt a PEM key on its own
openssl pkey -in service.key -aes-256-cbc -out service.enc.key
Käytä pitkää salasanaa, jonka salasanojen hallintaohjelma on luonut. Salasana on toinen tekijä: tiedoston saanut ei silti voi käyttää sitä, eikä salasanan saaneella ole mitään, mihin sitä käyttäisi.
Lähetä tiedosto kertakäyttöisellä suojatulla linkillä
Linkki on toimitusvaihe, ja tavoite on, ettei tiedostosta jää kopiota mihinkään viestiin.
- Varmista vastaanottaja lähteestä, johon jo luotat: tiketistä, tallennetusta toimittajan yhteystiedosta tai puhelulla. Odottamattomasta osoitteesta tullut varmennepyyntö vaatii puhelun, ei vastausviestiä.
- Luo salainen linkki ja liitä tiedosto siihen. Avaa kirjautuneena LinkPilot-tililläsi ”Secret Links”, valitse ”New” ja liitä PFX- tai salattu PEM-tiedosto. Yksittäisen tiedoston enimmäiskoko on 9 Mt, mikä on tuhansia kertoja enemmän kuin mikään avainpaketti. Liite salataan selaimessasi ennen lähetystä ja poistetaan, kun se ladataan ensimmäisen kerran.
- Aseta voimassaoloajaksi todellinen tarve. Tunti, jos vastaanottaja odottaa, 24 tuntia, jos olette eri aikavyöhykkeillä. Kertalataus on pääasiallinen suoja, ja voimassaoloaika on varmistus siltä varalta, ettei kukaan avaa linkkiä.
- Aseta katselurajaksi yksi. Jos kaksi asiantuntijaa tarvitsee paketin, kumpikin saa oman linkkinsä.
- Lisää linkkiin salalause Pro-tilillä, jos linkki kulkee kanavaa pitkin, jonka muutkin näkevät.
- Lähetä linkki yhden rivin saatteella: mikä varmenne, mihin järjestelmään ja milloin linkki vanhenee.
- Lähetä tiedoston salasana toista kanavaa pitkin. Tekstiviestillä, puhelulla tai toisella salaisella linkillä eri reittiä. Ei koskaan samassa viestissä kuin tiedoston linkki, eikä koskaan tiedostonimessä.
Jos avain on lyhyt PEM-teksti, voit liittää sen suoraan ilmaiseen salaisen linkin työkaluun tiedoston liittämisen sijaan. Teksti salataan selaimessasi ja tuhoutuu ensimmäisellä avauksella samalla tavalla.
Kerro vastaanottajalle, mitä tiedostolla tehdään
Lähetä asennusohjeet saateviestin mukana, ei salasanan kanssa:
- Mikä tiedosto on tulossa, sen muoto ja järjestelmä, johon se kuuluu.
- Missä sitä säilytetään: palvelimen varmennehakemistossa niin, että käyttöoikeudet on rajattu palvelutilille, tai käyttöjärjestelmän varmennesäilössä. Ei Lataukset-kansiossa eikä jaetulla levyllä.
- Poista ladattu kopio tuonnin jälkeen, äläkä koskaan lisää sitä repositorioon.
- Vahvista vastaanotto tiedostonimellä ja sormenjäljellä, älä koskaan lähettämällä tiedostoa takaisin:
openssl x509 -in service.crt -noout -fingerprint -sha256
Jälkeenpäin
Tarkista, että linkin tila on ”revealed” (avattu) ja että vastaanottaja vahvistaa sormenjäljen täsmäävän. Pro-tileillä tarkastuslokista eli linkin tapahtumien lokista näkyy latauksen tarkka ajankohta. Jos linkki avattiin ennen kuin vastaanottaja ehti siihen tai tiedosto meni väärään osoitteeseen, älä jää odottamaan näyttöä väärinkäytöstä: mitätöi varmenne sen myöntäneen varmentajan kautta, luo uusi avainpari, hanki uusi varmenne ja vaihda se kaikkialle, minne se on asennettu.
Kirjaa, kuka sai minkäkin varmenteen ja milloin. Säilytä merkintä. Tiedoston pitää olla niissä järjestelmissä, jotka sitä tarvitsevat, eikä missään niiden välissä.