De wortel van de PKI is de bestaande interne RWS-PKI. Iedere cel heeft een eigen tussen-CA, uitgegeven door PKI-beheer, met naambeperking tot de domeinen van die cel; haar sleutel staat in het geheimenbeheer van de cel. Uitgifte loopt alleen via vastgestelde rollen per domein.
Onderwerp
Certificaten en PKI
Waar certificaten vandaan komen en hoe lang ze gelden. De interne RWS-PKI is de wortel, iedere cel heeft een eigen tussen-CA, certificaten zijn kortlevend en worden automatisch vernieuwd, en publieke namen hebben een gescheiden keten.
Nog niet bevestigd door een mens. Eigenaar: vdo89. Bron in de atlas
- Domein
- Volgt uit
- Functies
- Producten
- Verwant
Wat het is
Certificaten geven diensten en werklasten een naam die anderen kunnen controleren, en versleutelen hun verbindingen. Het platform geeft ze uit, vernieuwt ze en trekt ze in. De interne RWS-PKI is de wortel; daaronder heeft iedere cel een eigen tussen-CA, met aparte tussen-CA’s voor de P3-dienstnamen en voor de ondertekening van software. De sleutels zelf staan in Sleutels, ontgrendeling en versleuteling.
Waarom zo
Met een eigen tussen-CA per cel, met naambeperking tot die cel, raakt een incident met de certificaten van de ene cel de andere niet. Korte looptijden beperken wat een gestolen sleutel waard is, en dat werkt alleen als vernieuwen en uitrollen automatisch gaan. Een P3-dienst draait in beide cellen onder dezelfde naam; daarom heeft zij een eigen, gedeelde tussen-CA, als aanvaard restrisico.
Opbouw van de PKI
Eén tussen-CA ‘vloot’ van PKI-beheer, beperkt tot de dienstnamen van P3-diensten (<dienst>.dc3.internal) zonder de celdomeinen, staat in een eigen mount in het geheimenbeheer van beide cellen. Zo houdt een P3-dienst bij overname naam en keten. cert-manager geeft daaruit in beide cellen alleen uit via een rol per P3-dienst.
Fulcio tekent met een eigen tussen-CA ‘ondertekening’ onder de interne RWS-PKI, met naambeperking tot het SPIFFE-vertrouwensdomein van het bouwcluster, zodat de tussen-CA per cel ongemoeid blijft. Haar sleutel staat in het geheimenbeheer van cel 1 en is alleen bruikbaar voor Fulcio.
De gedeelde wortel van de PKI, de tussen-CA ‘vloot’ en de hardwaresleutelmodule van PKI-beheer kunnen beide cellen raken. Dat is een aanvaard restrisico, met aparte maatregelen voor deze vlootbrede voorzieningen.
Cryptografische authenticatiemiddelen (certificaten, sleutelparen) worden uitgegeven via een gecontroleerd PKI- of KMS-proces.
Levensduur en vernieuwing
Certificaten zijn kortlevend, worden automatisch vernieuwd en worden uitgerold naar de dienst die TLS afsluit, niet naar de verkeersverdeling. Servercertificaten gelden ten hoogste 90 dagen en worden vernieuwd bij twee derde van de looptijd; ieder servercertificaat wordt 30 en 7 dagen vóór verloop gemeld. Certificaten van werklasten gelden 24 uur; een mislukte vernieuwing geeft een melding.
Toelichting
Een toepassing laadt een vernieuwd certificaat opnieuw, of laat de versleuteling over aan het platform.
cert-manager in het cluster van de ingang of de dienst geeft de certificaten uit via de PKI van OpenBao; de rol in OpenBao staat ten hoogste 2160 uur looptijd toe. Terugval is uitgifte via de API van OpenBao.
Het luisteraarcertificaat van het geheimenbeheer komt uit de interne PKI en wordt buiten OpenBao vernieuwd, bij twee derde van de looptijd.
Vertrouwende partijen controleren intrekking via CRL of OCSP; de intrekkingsinformatie is ten hoogste vier uur oud. Per pad wordt beproefd dat een verlopen, een ingetrokken en een verkeerd certificaat worden geweigerd.
Publieke namen
Voor namen die van buiten bereikbaar zijn, komen de certificaten uit de externe PKI, in een gescheiden keten. Een draaiboek plaatst per naam een publiek certificaat als geheim in de naamruimte van de route, met een dagelijkse vergelijking; de externe verkeersverdeling raakt ze niet.