Αξιολόγηση CA: 03 Επαγγελματικό επίπεδο · Certificate Authority

1. Στόχος αξιολόγησης

Το θέμα «Στόχος αξιολόγησης» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Στόχος αξιολόγησης»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Στόχος αξιολόγησης»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Στόχος αξιολόγησης»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

2. Προϋποθέσεις και επιτρεπόμενα βοηθήματα

Το θέμα «Προϋποθέσεις και επιτρεπόμενα βοηθήματα» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Προϋποθέσεις και επιτρεπόμενα βοηθήματα»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Προϋποθέσεις και επιτρεπόμενα βοηθήματα»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Προϋποθέσεις και επιτρεπόμενα βοηθήματα»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

3. Σενάριο

Το θέμα «Σενάριο» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Σενάριο»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Σενάριο»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Σενάριο»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

4. Αναμενόμενη υποβολή

Το θέμα «Αναμενόμενη υποβολή» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Αναμενόμενη υποβολή»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Αναμενόμενη υποβολή»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Αναμενόμενη υποβολή»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

5. Μέρος A: Ερωτήσεις γνώσεων

Το θέμα «Μέρος A: Ερωτήσεις γνώσεων» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Μέρος A: Ερωτήσεις γνώσεων»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Μέρος A: Ερωτήσεις γνώσεων»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Μέρος A: Ερωτήσεις γνώσεων»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

1. Λειτουργία CA

Το θέμα «Λειτουργία CA» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Λειτουργία CA»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Λειτουργία CA»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Λειτουργία CA»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

2. Ροή issuance

Το θέμα «Ροή issuance» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Ροή issuance»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Ροή issuance»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Ροή issuance»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

3. Αυτοματοποίηση renewal

Το θέμα «Αυτοματοποίηση renewal» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Αυτοματοποίηση renewal»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Αυτοματοποίηση renewal»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Αυτοματοποίηση renewal»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

4. ACME

Το θέμα «ACME» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «ACME»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «ACME»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «ACME»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

5. Vault PKI

Το θέμα «Vault PKI» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Vault PKI»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Vault PKI»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Vault PKI»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

6. cert-manager

Το θέμα «cert-manager» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «cert-manager»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «cert-manager»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «cert-manager»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

7. step-ca

Το θέμα «step-ca» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «step-ca»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «step-ca»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «step-ca»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

8. Monitoring

Το θέμα «Monitoring» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Monitoring»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Monitoring»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Monitoring»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

9. Backup/Restore

Το θέμα «Backup/Restore» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Backup/Restore»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Backup/Restore»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Backup/Restore»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

10. Runbooks

Το θέμα «Runbooks» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Runbooks»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Runbooks»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Runbooks»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

6. Μέρος B: Ανάλυση certificate

Το θέμα «Μέρος B: Ανάλυση certificate» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Μέρος B: Ανάλυση certificate»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Μέρος B: Ανάλυση certificate»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Μέρος B: Ανάλυση certificate»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

7. Μέρος C: Πρακτική εργασία

Το θέμα «Μέρος C: Πρακτική εργασία» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Μέρος C: Πρακτική εργασία»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Μέρος C: Πρακτική εργασία»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Μέρος C: Πρακτική εργασία»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

8. Μέρος D: Διάγνωση και λειτουργική σημείωση

Το θέμα «Μέρος D: Διάγνωση και λειτουργική σημείωση» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Μέρος D: Διάγνωση και λειτουργική σημείωση»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Μέρος D: Διάγνωση και λειτουργική σημείωση»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Μέρος D: Διάγνωση και λειτουργική σημείωση»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

9. Βαθμολόγηση

Το θέμα «Βαθμολόγηση» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Βαθμολόγηση»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Βαθμολόγηση»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Βαθμολόγηση»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

10. Κριτήρια άμεσης αποτυχίας

Το θέμα «Κριτήρια άμεσης αποτυχίας» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Κριτήρια άμεσης αποτυχίας»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Κριτήρια άμεσης αποτυχίας»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Κριτήρια άμεσης αποτυχίας»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

11. Λίστα ελέγχου εξεταστή

Το θέμα «Λίστα ελέγχου εξεταστή» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review	Αναμενόμενο
Ποια οντότητα προστατεύεται;	Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject;	Τεκμηριώνεται η έξοδος του `openssl x509 -issuer -subject`.
Ποια extensions είναι κρίσιμα;	Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη;	Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation;	Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Λίστα ελέγχου εξεταστή»

Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Λίστα ελέγχου εξεταστή»

Αστοχία	Αιτία	Διάγνωση
`unable to get local issuer certificate`	Λείπει η chain ή το trust anchor	`openssl verify -show_chain`
Hostname mismatch	Λείπει SAN ή το DNS name είναι λάθος	`openssl x509 -text` και δοκιμή client
Key mismatch	Συγχέθηκαν CSR, key και certificate	Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει	Λάθος Basic Constraints ή Key Usage	Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό	CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται	Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Λίστα ελέγχου εξεταστή»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

Πρακτικό παράρτημα: CA evidence για αυτή την αξιολόγηση

Το παράρτημα ολοκληρώνει το υλικό του workshop: συνδέει το θέμα με επαναλήψιμο evidence, ερωτήσεις review, λειτουργικές αποφάσεις και απαιτήσεις ασφάλειας. Τα σημεία δεν είναι επινοημένες λειτουργίες προϊόντος, αλλά πραγματικά κριτήρια ελέγχου για εργασία PKI με X.509, OpenSSL και συνήθη μοντέλα λειτουργίας CA.

A.1 Πεδίο εφαρμογής και όρια

Κάθε εργασία CA ξεκινά με τη διάκριση μεταξύ ιδιωτικού lab PKI, εσωτερικού enterprise PKI και δημόσια έμπιστων server certificates. Αυτή η διάκριση αλλάζει τις ευθύνες, τις απαιτήσεις audit, τις περιόδους ισχύος, τη διαχείριση revocation και τους clients που μπορούν να εμπιστεύονται το πιστοποιητικό.

Πεδίο review	Αναμενόμενο
Στόχος	Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του `03-professional-certificate-authority-assessment-EL.md`.
Evidence	Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος	Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.