Sissejuhatus
Juhtiva sertifitseerimisasutuse (CA) ja usaldusteenuste ettevõttena seame prioriteediks oma digitaalsete sertifikaatide ja identiteedi kinnitamise protseduuride turvalisuse ja usaldusväärsuse. See juhend on keskendunud meie kaubamärgiga edasimüüjapartneritele, kellel on alluvad sertifitseerimisasutused aheldatud SSL.com-i usaldusväärse juurega (edaspidi "alamCA-d") ja kes vastutavad valideerimistõendite kogumise, meie registreerimisasutuste portaalile esitamise ja sertifikaatide väljastamise hõlbustamise eest. SSL.com hallatavate partneri kaubamärgiga alamCA-de sertifikaadid. Selle juhendi eesmärk on tagada valideerimistõendite esitamise protsessi ja sertifikaadi elutsükli terviklikkus ja turvalisus, sest edasimüüjatel ei ole otsest juurdepääsu juurmaterjalile ja nad saavad sertifikaadi elutsükli toimingutega suhelda ainult selleks määratud API või konto kaudu. registreerimisasutuse (RA) portaal, mida haldab SSL.com.
Kinnitustõendite turvaline kogumine laiendatud, organisatsiooniliste ja individuaalsete valideerimistüüpide jaoks
-
Andmete minimeerimine: Koguge ainult sertifikaadi väljastamise protsessi jaoks vajalikke valideerimistõendeid. Vältige kõrvalise või tundliku teabe kogumist.
-
Turvalised kogumismeetodid: Kasutage lõppkasutajatelt valideerimistõendite kogumisel turvalisi kanaleid, näiteks krüptitud vorme või portaale.
-
Juurdepääsu kontroll: Valideerimistõendite kogumiseks rakendage ranget juurdepääsukontrolli. Juurdepääs peaks olema ainult volitatud töötajatel ja mitmefaktoriline autentimine peaks olema kohustuslik.
-
Andmete terviklikkus: Veenduge, et kinnitamise tõendid jäävad kogumise ajal muutumatuks.
-
Domeeni kontrolli valideerimine: Kasutage domeenikontrolli valideerimise teenuseid ja meetodeid, mida pakub rangelt SSL.com.
Kinnitustõendite turvaline esitamine juur-CA-le
-
API turvalisus: Kasutage kinnitustõendite esitamiseks alati määratud API-d. Veenduge, et API-kõned tehakse turvaliste kanalite (nt HTTPS) kaudu.
-
Portaali üleslaadimised: Teine ohutu tõendite esitamise viis on tõendite otse üleslaadimine vastavasse tellimusse, mida näete oma SSL.com-i kontol; veenduge, et laadite üles ainult konkreetse tellimusega seotud tõendid.
-
Regulaarsed auditid: Korraldage esitamislogide regulaarseid auditeid tagamaks, et ei esitata volitamata esildisi.
-
Intsidentidele reageerimine: Esitage esitamisprotsessis esinevate lahknevuste või rikkumiste jaoks selge intsidentidele reageerimise plaan. Teavita juur CA kui avastatakse eeskirjade eiramisi.
Sertifikaadi elutsükli toimingute API kasutamise parimad tavad
-
API võtmehaldus: Kaitske oma API võtmeid. Hoidke neid turvaliselt, pöörake neid perioodiliselt ja ärge kunagi avaldage neid kliendipoolses koodis või avalikes hoidlates.
-
Hindade piirang: Pidage meeles API-le kehtestatud piiranguid, et vältida tahtmatuid teenuse katkestusi.
-
Jälgimine ja logimine: Jälgige kõiki API tegevusi. Säilitage üksikasjalikke logisid ja vaadake neid regulaarselt mis tahes kahtlaste või volitamata tegevuste suhtes.
-
Vigade käsitlemine: Rakendage tugevaid veakäsitlusmehhanisme. Kui API vastustes ilmneb tõrkeid või lahknevusi, kasutage nende lahendamiseks selget protseduuri.
Turvalise veebisaidi haldamine
-
korralik TLS Serveri konfiguratsioon: Veenduge, et server toetaks ainult tugevaid krüptograafilisi šifreid ja protokolle. Teadaolevate haavatavuste vältimiseks värskendage ja parandage serverit regulaarselt.
-
Operatsioonisüsteemi kõvenemine: Minimeerige serveris töötavate teenuste arv, rakendage viivitamatult turvapaigad ja kasutage rünnakupinna vähendamiseks turvakonfiguratsioone.
-
Levinud veebisaidi haavatavused: Otsige regulaarselt haavatavusi, nagu SQL-i süstimine, saidiülene skriptimine (XSS) ja saidiülene taotluste võltsimine, ja kõrvaldage need.CSRF).
-
Parooli õige seisukorra säilitamine: Veenduge, et paroolid oleksid keerulised, sisaldades suur- ja väiketähti, numbreid ja erimärke. Julgustage neid, kellel on juurdepääs teie serveritele või CRM-ile, oma paroole regulaarselt värskendama ja vältima teistelt saitidelt pärit paroolide taaskasutamist. Rakendage mitmetegurilist autentimist (MFA) või kasutage kliendi autentimise sertifikaate.
CA/B foorumi võrgu- ja sertifikaadisüsteemide turvanõuded
-
Kvartali haavatavuse kontrollid: Kontrollige regulaarselt iga kvartali haavatavust, et tuvastada ja kõrvaldada võimalikud turvaprobleemid.
-
Iga-aastane läbitungimiskatse: Osalege iga-aastases läbitungimise testis, et simuleerida võimalikke rünnakuid ja tuvastada süsteemi nõrgad kohad.
-
Turbenõuete reklaamimine: Usalduse ja turvalisuse säilitamiseks rõhutage CA/B foorumi võrgu- ja sertifikaadisüsteemide turbenõuete järgimise tähtsust.
Lõppkasutajate parimate tavade reklaamimine privaatvõtmete genereerimise, talletamise ja CSRs
-
Võtme genereerimise alane haridus: Juhendage lõppkasutajaid kasutama CA kontrollitud tööriistu võtmete genereerimiseks ja CSRs. See tagab ühilduvuse ja turvalisuse.
-
Võtme pikkus ja algoritm: Soovitage lõppkasutajatel kasutada tugevaid krüptoalgoritme ja sobivaid võtmepikkuseid (nt RSA 2048-bitine või kõrgem).
-
Juurdepääsukontroll ja mitmefaktoriline autentimine: Rakendage rangeid juurdepääsukontrolle ja edendage mitmefaktorilise autentimise kasutamist, eriti selliste toimingute puhul, mis käivitavad CA API interaktsioonid, nagu sertifikaadi uuestivõti, uuendamine ja tühistamine.
Privaatvõtmete turvaline hoiustamine
-
Pidev klahvide vaheldumine: Võtme regulaarne vahetamine minimeerib võtme kahjustamise korral avaldatavate andmete hulka ja lühendab aega, mis ründajal kulub võtme murdmiseks.
-
Krüpteeritud salvestusruum ja varundamine: Julgustage privaatvõtmete krüpteeritud varukoopiaid, mida hoitakse turvaliselt ja eraldi.
-
Tühistamine ja võtme hävitamine: Julgustage oma lõppkasutajates poliitikaid, mis võimaldavad kiiret ja tõhusat tühistamist, kui võti on ohus või seda enam ei vajata. Võtit ei tohiks pärast tühistamist kasutada krüptotoiminguteks ja see tuleb hävitada.
-
Võtmehierarhia paika panemine: See struktuur loob krüptograafiliste võtmete kihid, millest igaühel on erinev juurdepääsu- ja juhtimistase. Peavõtit, mis on selle hierarhia keskmes ja on äärmiselt turvaline, kasutatakse täiendavate võtmete krüptimiseks, mida sageli nimetatakse "alluvaks" või "andmete krüptimiseks".
-
Katastroofidele reageerimise strateegia olemasolu: Töötage välja määratletud meetmed, mida tuleb võtta, ja vastutavad osapooled olulise võtmekompromissi või võtme kaotamise korral.
Usaldus meie CA ja meie kaubamärgiga edasimüüjate vastu on ülimalt tähtis. Järgides neid kõikehõlmavaid parimaid tavasid, saame tagada sertifikaatide väljastamise protsessi turvalisuse ja terviklikkuse, kaitsta kasutajaandmeid ning säilitada oma lõppkasutajate usaldust. Julgustame kõiki oma edasimüüjaid neid tavasid hoolikalt rakendama ja pöörduma meie poole, et saada täiendavaid juhiseid või selgitusi.
