Βέλτιστες πρακτικές: Certificate Authority
Ημερομηνία: 15 Ιουλίου 2026 Το αρχείο αποτελεί αναλυτική αναφορά για το workshop και τη λειτουργία PKI.
1. Σχεδιασμός PKI
Το θέμα «Σχεδιασμός PKI» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Σχεδιασμός PKI»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Σχεδιασμός PKI»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Σχεδιασμός PKI»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
2. Διατήρηση root offline
Το θέμα «Διατήρηση root offline» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Διατήρηση root offline»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Διατήρηση root offline»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Διατήρηση root offline»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
3. Περιορισμός intermediate CAs
Το θέμα «Περιορισμός intermediate CAs» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Περιορισμός intermediate CAs»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Περιορισμός intermediate CAs»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Περιορισμός intermediate CAs»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
4. Μεγέθη keys και αλγόριθμοι
Το θέμα «Μεγέθη keys και αλγόριθμοι» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Μεγέθη keys και αλγόριθμοι»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Μεγέθη keys και αλγόριθμοι»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Μεγέθη keys και αλγόριθμοι»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
5. Περίοδοι ισχύος
Το θέμα «Περίοδοι ισχύος» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Περίοδοι ισχύος»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Περίοδοι ισχύος»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Περίοδοι ισχύος»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
6. Extensions
Το θέμα «Extensions» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Extensions»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Extensions»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Extensions»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
7. SAN αντί CN
Το θέμα «SAN αντί CN» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «SAN αντί CN»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «SAN αντί CN»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «SAN αντί CN»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
8. Serial numbers
Το θέμα «Serial numbers» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Serial numbers»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Serial numbers»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Serial numbers»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
9. Βάση δεδομένων CA
Το θέμα «Βάση δεδομένων CA» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Βάση δεδομένων CA»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Βάση δεδομένων CA»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Βάση δεδομένων CA»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
10. Revocation
Το θέμα «Revocation» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Revocation»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Revocation»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Revocation»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
11. Διαχείριση trust store
Το θέμα «Διαχείριση trust store» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Διαχείριση trust store»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Διαχείριση trust store»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Διαχείριση trust store»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
12. Αυτοματοποίηση
Το θέμα «Αυτοματοποίηση» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Αυτοματοποίηση»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Αυτοματοποίηση»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Αυτοματοποίηση»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
13. Monitoring
Το θέμα «Monitoring» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Monitoring»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Monitoring»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Monitoring»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
14. Backup και restore
Το θέμα «Backup και restore» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Backup και restore»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Backup και restore»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Backup και restore»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
15. Evidence audit
Το θέμα «Evidence audit» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Evidence audit»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Evidence audit»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Evidence audit»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
16. Ανεπιθύμητα μοτίβα
Το θέμα «Ανεπιθύμητα μοτίβα» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Ανεπιθύμητα μοτίβα»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Ανεπιθύμητα μοτίβα»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Ανεπιθύμητα μοτίβα»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
17. Λίστα ελέγχου review
Το θέμα «Λίστα ελέγχου review» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.
| Ερώτηση review | Αναμενόμενο |
|---|---|
| Ποια οντότητα προστατεύεται; | Κατονομάζεται host, service, client, CA ή workload. |
| Ποιος είναι issuer και ποιος subject; | Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject. |
| Ποια extensions είναι κρίσιμα; | Ελέγχονται SAN, Key Usage, EKU και Basic Constraints. |
| Πώς δημιουργείται η εμπιστοσύνη; | Το chain file και το trust anchor ορίζονται ρητά. |
| Πώς αντιμετωπίζεται το revocation; | Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab. |
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt
Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.
Αναμενόμενη πρακτική και review για το θέμα «Λίστα ελέγχου review»
- Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
- Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
- Τα CA certificates έχουν
CA:TRUE, ενώ τα end-entity certificates έχουνCA:FALSE. - Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
- Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
- Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
- Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.
Συνηθισμένα λάθη για το θέμα «Λίστα ελέγχου review»
| Αστοχία | Αιτία | Διάγνωση |
|---|---|---|
unable to get local issuer certificate |
Λείπει η chain ή το trust anchor | openssl verify -show_chain |
| Hostname mismatch | Λείπει SAN ή το DNS name είναι λάθος | openssl x509 -text και δοκιμή client |
| Key mismatch | Συγχέθηκαν CSR, key και certificate | Συγκρίνετε public-key fingerprints. |
| Η CA δεν μπορεί να υπογράψει | Λάθος Basic Constraints ή Key Usage | Εξετάστε τα extensions. |
| Το revocation δεν είναι αποτελεσματικό | CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται | Ελέγξτε CRL Distribution Point και συμπεριφορά client. |
Παράδειγμα υποβολής για το θέμα «Λίστα ελέγχου review»
submission/
openssl/root-openssl.cnf
openssl/intermediate-openssl.cnf
csr/server.csr
certs/server.crt
certs/chain.pem
evidence.md
cleanup.md
Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.
Πηγές και περαιτέρω αναφορές
- RFC 5280: https://datatracker.ietf.org/doc/html/rfc5280
- CA/Browser Forum Baseline Requirements: https://cabforum.org/working-groups/server/baseline-requirements/requirements/
- CA/Browser Forum TLS BR Documents: https://cabforum.org/working-groups/server/baseline-requirements/documents/
- NIST SP 800-57 Part 1 Rev. 5: https://csrc.nist.gov/pubs/sp/800/57/pt1/r5/final
- NIST SP 800-57 Rev. 6 Initial Public Draft: https://csrc.nist.gov/pubs/sp/800/57/pt1/r6/ipd
- OpenSSL Documentation: https://docs.openssl.org/
- OpenSSL
ca: https://docs.openssl.org/3.0/man1/openssl-ca/ - OpenSSL
x509: https://docs.openssl.org/3.0/man1/openssl-x509/ - Let's Encrypt Documentation: https://letsencrypt.org/docs/
- HashiCorp Vault PKI Secrets Engine: https://developer.hashicorp.com/vault/docs/secrets/pki
- cert-manager Documentation: https://cert-manager.io/docs/
- Smallstep Documentation: https://smallstep.com/docs/
Πρακτικό παράρτημα: CA evidence για αυτό το έγγραφο αναφοράς
Το παράρτημα ολοκληρώνει το υλικό του workshop: συνδέει το θέμα με επαναλήψιμο evidence, ερωτήσεις review, λειτουργικές αποφάσεις και απαιτήσεις ασφάλειας. Τα σημεία δεν είναι επινοημένες λειτουργίες προϊόντος, αλλά πραγματικά κριτήρια ελέγχου για εργασία PKI με X.509, OpenSSL και συνήθη μοντέλα λειτουργίας CA.
A.1 Πεδίο εφαρμογής και όρια
Κάθε εργασία CA ξεκινά με τη διάκριση μεταξύ ιδιωτικού lab PKI, εσωτερικού enterprise PKI και δημόσια έμπιστων server certificates. Αυτή η διάκριση αλλάζει τις ευθύνες, τις απαιτήσεις audit, τις περιόδους ισχύος, τη διαχείριση revocation και τους clients που μπορούν να εμπιστεύονται το πιστοποιητικό.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.2 Μοντέλο εμπιστοσύνης
Το trust model ορίζει ποια root διανέμεται ως trust anchor, ποιες intermediate CAs μπορούν να υπογράφουν και ποια relying parties αξιολογούν το chain. Χωρίς αυτό το μοντέλο, ακόμη και ένα τεχνικά έγκυρο πιστοποιητικό μπορεί να είναι λειτουργικά ασαφές.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.3 Διαχείριση Root CA
Στο workshop η Root CA είναι τοπικό εκπαιδευτικό τεχνούργημα. Σε πραγματικά περιβάλλοντα το root key φυλάσσεται offline ή σε HSM και ελέγχεται με ceremonies, διαχωρισμένους ρόλους, logs και σχέδια recovery.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.4 Λειτουργία Intermediate CA
Οι Intermediate CAs αποτελούν το λειτουργικό επίπεδο υπογραφής. Τα πιστοποιητικά τους χρειάζονται CA:TRUE, keyCertSign, cRLSign, κατάλληλους περιορισμούς path length και σαφές σχέδιο κύκλου ζωής και rotation.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.5 Registration Authority
Η RA ή διαδικασία έγκρισης αποφασίζει αν ένα αίτημα επιτρέπεται να υπογραφεί. Για εσωτερικούς servers πρέπει να είναι ανιχνεύσιμα τουλάχιστον ο system owner, το DNS name, το περιβάλλον, ο σκοπός, η διάρκεια ισχύος, η υπεύθυνη ομάδα και το change window.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.6 Προστασία Private Keys
Τα private keys είναι τα πιο ευαίσθητα PKI assets. Τα repositories πρέπει να περιέχουν μόνο ρυθμίσεις, CSRs, δημόσια πιστοποιητικά και evidence. Στα labs τα κλειδιά δημιουργούνται κάτω από work/ ή σε προστατευμένα συστήματα και δεν γίνονται commit.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.7 Έλεγχος CSR
Ένα CSR αποδεικνύει κατοχή private key, αλλά όχι δικαίωμα χρήσης ενός ονόματος. Ελέγξτε subject, SANs, αλγόριθμο public key, μέγεθος κλειδιού, αιτούντα και προβλεπόμενο τύπο πιστοποιητικού.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.8 X.509 Extensions
Τα extensions είναι λογική ασφάλειας, όχι διακόσμηση. Basic constraints, key usage, extended key usage, subject alternative name, subject key identifier και authority key identifier καθορίζουν για ποιες χρήσεις μπορεί να γίνει αποδεκτό ένα πιστοποιητικό.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.9 SAN και μοντέλο ονομάτων
Η ταυτότητα server ελέγχεται μέσω SANs. Το common name μόνο του δεν αρκεί για σύγχρονη επαλήθευση hostname. Τα εσωτερικά namespaces, τα documentation domains και τα production domains πρέπει να παραμένουν διακριτά.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.10 Επαλήθευση chain
Ένας αξιόπιστος έλεγχος διαχωρίζει trust anchor και chain certificates. Στην πράξη χρησιμοποιήστε τη root με -CAfile, την intermediate με -untrusted, το leaf ως πιστοποιητικό στόχο και επαλήθευση hostname όπου χρειάζεται.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.11 Revocation
Το revocation είναι λειτουργική διαδικασία, όχι μεταγενέστερη σκέψη. Τα δεδομένα CRL ή OCSP πρέπει να παράγονται, να δημοσιεύονται, να παρακολουθούνται και να καταναλώνονται πράγματι από τους σχετικούς clients.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.12 Λήξη και ανανέωση
Τα πιστοποιητικά χρειάζονται περιθώριο ανανέωσης πριν η λήξη γίνει κρίσιμη. Η απόφαση καλύπτει νέο serial, νέα υπογραφή, προαιρετικά νέο κλειδί, σειρά rollout και σχέδιο rollback.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.13 Automation
Το automation μέσω Vault PKI, cert-manager, ACME, Smallstep ή SPIFFE μειώνει τη χειροκίνητη εργασία, αλλά δεν αντικαθιστά το policy. Ρόλοι, TTLs, issuers, approvers και audit παραμένουν ρητά ορισμένα.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.14 Audit και evidence
Το evidence πρέπει να δείχνει τι δημιουργήθηκε, τι ελέγχθηκε και τι εγκρίθηκε. Καλό evidence περιλαμβάνει αποτελέσματα OpenSSL, fingerprints, serial numbers, επαλήθευση chain, κατάσταση CRL ή OCSP και κανένα secret.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.15 Incident Response
Σε παραβίαση κλειδιού η σειρά έχει σημασία: εντοπίστε τα επηρεασμένα serials, κάντε revocation, ενημερώστε CRL ή OCSP, εκδώστε αντικαταστάτες, ενημερώστε operators, διατηρήστε logs και τεκμηριώστε τη root cause.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.16 Policy και CPS
Ένα Certificate Policy περιγράφει τι επιτρέπεται. Ένα Certification Practice Statement περιγράφει πώς εφαρμόζεται λειτουργικά. Ακόμη και ιδιωτικά PKIs ωφελούνται από αυτόν τον διαχωρισμό, επειδή σταθεροποιεί το review και τη λειτουργία.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.17 Περιβάλλον
WSL, VMs, bare metal και cloud διαφέρουν στη συμπεριφορά trust stores, στα file permissions, στις εκδόσεις packages και στις διαδρομές. Συνεπώς, εντολές και evidence πρέπει να κατονομάζουν το τοπικό περιβάλλον.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.18 Security Hardening
Το hardening περιλαμβάνει file permissions, διαχωρισμένους ρόλους, σύντομες διάρκειες ισχύος, ελάχιστα EKUs, ασφαλείς αλγόριθμους, offline root, ελεγχόμενες intermediate CAs και monitoring για λήξη ή ασυνήθιστη έκδοση.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.19 Troubleshooting
Το PKI troubleshooting ξεκινά από το chain: ταιριάζει το private key, είναι σωστό το CSR, υπογράφηκε σωστά το πιστοποιητικό, είναι πλήρες το chain και εμπιστεύεται ο client τη root;
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.20 Ομαδική ροή εργασίας
Σε workshops και πραγματικές ομάδες ένα άτομο πρέπει να δημιουργεί, δεύτερο να ελέγχει και τρίτο να μπορεί να αναπαράγει το evidence. Έτσι τα PKI σφάλματα γίνονται ορατά νωρίτερα.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.21 Μορφή υποβολής
Μια σωστή υποβολή περιλαμβάνει ρυθμίσεις, δημόσια τεχνουργήματα, evidence, ανάλυση αποτυχίας, σημειώσεις cleanup και σύντομη λειτουργική αξιολόγηση. Private keys και production δεδομένα απουσιάζουν συνειδητά.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.22 Μετάβαση σε production
Η μετάβαση από lab σε production δεν είναι αντιγραφή εντολών OpenSSL. Απαιτεί ρόλους, ασφαλή φύλαξη κλειδιών, monitoring, backup, διανομή revocation, τεκμηρίωση και recovery που εξασκείται τακτικά.
| Πεδίο review | Αναμενόμενο |
|---|---|
| Στόχος | Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του best-practices-certificate-authority-EL.md. |
| Evidence | Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση. |
| Κίνδυνος | Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης. |
Συγκεκριμένες ερωτήσεις review:
- Ποια οντότητα προστατεύεται ή υπογράφεται;
- Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
- Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
- Ποια παραδοχή χρειάζεται πρόσθετο production review;
- Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
- Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;
A.23 Ελάχιστο σύνολο evidence
evidence/
context.md
openssl-version.txt
csr-review.txt
certificate-summary.txt
certificate-extensions.txt
chain-verification.txt
revocation-or-renewal-note.md
cleanup.md
Αυτό το σύνολο είναι σκόπιμα ελάχιστο. Οι ασκήσεις Advanced προσθέτουν κατάσταση CA database, CRL, OCSP response, audit log, απόσπασμα policy, απόφαση ρόλου και χρονολόγιο incident.
A.24 Κριτήρια ποιότητας
- Το τεχνικό πεδίο είναι σαφές πριν από την εκτέλεση.
- Το chain επαληθεύεται τεχνικά, δεν περιγράφεται μόνο.
- SAN, key usage, EKU και basic constraints αξιολογούνται ρητά.
- Revocation και renewal καλύπτονται ως ζητήματα κύκλου ζωής.
- Τα private keys παραμένουν εκτός versioned περιεχομένου.
- Τα δημόσια πρότυπα διαχωρίζονται σωστά: το RFC 5280 περιγράφει profile και processing, το CA/Browser Forum διέπει δημόσια έμπιστα server certificates και το NIST SP 800-57 καθοδηγεί τη διαχείριση κλειδιών και τις διάρκειες ισχύος.