1. Στόχος προγράμματος σπουδών

Το θέμα «Στόχος προγράμματος σπουδών» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Στόχος προγράμματος σπουδών»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Στόχος προγράμματος σπουδών»

Παράδειγμα υποβολής για το θέμα «Στόχος προγράμματος σπουδών»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

2. Διδακτικό μοντέλο

Το θέμα «Διδακτικό μοντέλο» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Διδακτικό μοντέλο»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Διδακτικό μοντέλο»

Παράδειγμα υποβολής για το θέμα «Διδακτικό μοντέλο»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

3. Κοινά και ρόλοι

Το θέμα «Κοινά και ρόλοι» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Κοινά και ρόλοι»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Κοινά και ρόλοι»

Παράδειγμα υποβολής για το θέμα «Κοινά και ρόλοι»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

4. Προϋποθέσεις

Το θέμα «Προϋποθέσεις» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Προϋποθέσεις»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Προϋποθέσεις»

Παράδειγμα υποβολής για το θέμα «Προϋποθέσεις»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

5. Μαθησιακές διαδρομές

Το θέμα «Μαθησιακές διαδρομές» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Μαθησιακές διαδρομές»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Μαθησιακές διαδρομές»

Παράδειγμα υποβολής για το θέμα «Μαθησιακές διαδρομές»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

6. Επίπεδα ικανοτήτων

Το θέμα «Επίπεδα ικανοτήτων» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Επίπεδα ικανοτήτων»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Επίπεδα ικανοτήτων»

Παράδειγμα υποβολής για το θέμα «Επίπεδα ικανοτήτων»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

7. Συνολική δομή

Το θέμα «Συνολική δομή» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Συνολική δομή»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Συνολική δομή»

Παράδειγμα υποβολής για το θέμα «Συνολική δομή»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

8. Επίπεδο 1: Βασικές αρχές

Το θέμα «Επίπεδο 1: Βασικές αρχές» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Επίπεδο 1: Βασικές αρχές»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Επίπεδο 1: Βασικές αρχές»

Παράδειγμα υποβολής για το θέμα «Επίπεδο 1: Βασικές αρχές»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

9. Επίπεδο 2: Ενδιάμεσο

Το θέμα «Επίπεδο 2: Ενδιάμεσο» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Επίπεδο 2: Ενδιάμεσο»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Επίπεδο 2: Ενδιάμεσο»

Παράδειγμα υποβολής για το θέμα «Επίπεδο 2: Ενδιάμεσο»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

10. Επίπεδο 3: Επαγγελματικό

Το θέμα «Επίπεδο 3: Επαγγελματικό» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Επίπεδο 3: Επαγγελματικό»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Επίπεδο 3: Επαγγελματικό»

Παράδειγμα υποβολής για το θέμα «Επίπεδο 3: Επαγγελματικό»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

11. Επίπεδο 4: Προχωρημένο και ασφάλεια

Το θέμα «Επίπεδο 4: Προχωρημένο και ασφάλεια» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Επίπεδο 4: Προχωρημένο και ασφάλεια»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Επίπεδο 4: Προχωρημένο και ασφάλεια»

Παράδειγμα υποβολής για το θέμα «Επίπεδο 4: Προχωρημένο και ασφάλεια»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

12. Περιβάλλον πρακτικής

Το θέμα «Περιβάλλον πρακτικής» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Περιβάλλον πρακτικής»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Περιβάλλον πρακτικής»

Παράδειγμα υποβολής για το θέμα «Περιβάλλον πρακτικής»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

13. Labs workshop

Το θέμα «Labs workshop» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Labs workshop»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Labs workshop»

Παράδειγμα υποβολής για το θέμα «Labs workshop»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

14. Τελικές εργασίες

Το θέμα «Τελικές εργασίες» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Τελικές εργασίες»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Τελικές εργασίες»

Παράδειγμα υποβολής για το θέμα «Τελικές εργασίες»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

15. Κριτήρια αξιολόγησης

Το θέμα «Κριτήρια αξιολόγησης» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Κριτήρια αξιολόγησης»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Κριτήρια αξιολόγησης»

Παράδειγμα υποβολής για το θέμα «Κριτήρια αξιολόγησης»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

16. Παραλλαγές προγράμματος

Το θέμα «Παραλλαγές προγράμματος» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Παραλλαγές προγράμματος»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Παραλλαγές προγράμματος»

Παράδειγμα υποβολής για το θέμα «Παραλλαγές προγράμματος»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

17. Οδηγός εκπαιδευτή

Το θέμα «Οδηγός εκπαιδευτή» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Οδηγός εκπαιδευτή»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Οδηγός εκπαιδευτή»

Παράδειγμα υποβολής για το θέμα «Οδηγός εκπαιδευτή»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

18. Συνηθισμένες παρανοήσεις

Το θέμα «Συνηθισμένες παρανοήσεις» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Συνηθισμένες παρανοήσεις»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Συνηθισμένες παρανοήσεις»

Παράδειγμα υποβολής για το θέμα «Συνηθισμένες παρανοήσεις»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

19. Αντιστοίχιση με ρόλους

Το θέμα «Αντιστοίχιση με ρόλους» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Αντιστοίχιση με ρόλους»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Αντιστοίχιση με ρόλους»

Παράδειγμα υποβολής για το θέμα «Αντιστοίχιση με ρόλους»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

20. Περαιτέρω θέματα

Το θέμα «Περαιτέρω θέματα» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Περαιτέρω θέματα»

• Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
• Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
• Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
• Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
• Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
• Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
• Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Περαιτέρω θέματα»

Παράδειγμα υποβολής για το θέμα «Περαιτέρω θέματα»

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

Πηγές και περαιτέρω αναφορές

• RFC 5280: https://datatracker.ietf.org/doc/html/rfc5280
• CA/Browser Forum Baseline Requirements: https://cabforum.org/working-groups/server/baseline-requirements/requirements/
• CA/Browser Forum TLS BR Documents: https://cabforum.org/working-groups/server/baseline-requirements/documents/
• NIST SP 800-57 Part 1 Rev. 5: https://csrc.nist.gov/pubs/sp/800/57/pt1/r5/final
• NIST SP 800-57 Rev. 6 Initial Public Draft: https://csrc.nist.gov/pubs/sp/800/57/pt1/r6/ipd
• OpenSSL Documentation: https://docs.openssl.org/
• OpenSSL ca: https://docs.openssl.org/3.0/man1/openssl-ca/
• OpenSSL x509: https://docs.openssl.org/3.0/man1/openssl-x509/
• Let's Encrypt Documentation: https://letsencrypt.org/docs/
• HashiCorp Vault PKI Secrets Engine: https://developer.hashicorp.com/vault/docs/secrets/pki
• cert-manager Documentation: https://cert-manager.io/docs/
• Smallstep Documentation: https://smallstep.com/docs/

Πρακτικό παράρτημα: CA evidence για αυτό το έγγραφο αναφοράς

Το παράρτημα ολοκληρώνει το υλικό του workshop: συνδέει το θέμα με επαναλήψιμο evidence, ερωτήσεις review, λειτουργικές αποφάσεις και απαιτήσεις ασφάλειας. Τα σημεία δεν είναι επινοημένες λειτουργίες προϊόντος, αλλά πραγματικά κριτήρια ελέγχου για εργασία PKI με X.509, OpenSSL και συνήθη μοντέλα λειτουργίας CA.

A.1 Πεδίο εφαρμογής και όρια

Κάθε εργασία CA ξεκινά με τη διάκριση μεταξύ ιδιωτικού lab PKI, εσωτερικού enterprise PKI και δημόσια έμπιστων server certificates. Αυτή η διάκριση αλλάζει τις ευθύνες, τις απαιτήσεις audit, τις περιόδους ισχύος, τη διαχείριση revocation και τους clients που μπορούν να εμπιστεύονται το πιστοποιητικό.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.2 Μοντέλο εμπιστοσύνης

Το trust model ορίζει ποια root διανέμεται ως trust anchor, ποιες intermediate CAs μπορούν να υπογράφουν και ποια relying parties αξιολογούν το chain. Χωρίς αυτό το μοντέλο, ακόμη και ένα τεχνικά έγκυρο πιστοποιητικό μπορεί να είναι λειτουργικά ασαφές.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.3 Διαχείριση Root CA

Στο workshop η Root CA είναι τοπικό εκπαιδευτικό τεχνούργημα. Σε πραγματικά περιβάλλοντα το root key φυλάσσεται offline ή σε HSM και ελέγχεται με ceremonies, διαχωρισμένους ρόλους, logs και σχέδια recovery.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.4 Λειτουργία Intermediate CA

Οι Intermediate CAs αποτελούν το λειτουργικό επίπεδο υπογραφής. Τα πιστοποιητικά τους χρειάζονται CA:TRUE, keyCertSign, cRLSign, κατάλληλους περιορισμούς path length και σαφές σχέδιο κύκλου ζωής και rotation.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.5 Registration Authority

Η RA ή διαδικασία έγκρισης αποφασίζει αν ένα αίτημα επιτρέπεται να υπογραφεί. Για εσωτερικούς servers πρέπει να είναι ανιχνεύσιμα τουλάχιστον ο system owner, το DNS name, το περιβάλλον, ο σκοπός, η διάρκεια ισχύος, η υπεύθυνη ομάδα και το change window.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.6 Προστασία Private Keys

Τα private keys είναι τα πιο ευαίσθητα PKI assets. Τα repositories πρέπει να περιέχουν μόνο ρυθμίσεις, CSRs, δημόσια πιστοποιητικά και evidence. Στα labs τα κλειδιά δημιουργούνται κάτω από work/ ή σε προστατευμένα συστήματα και δεν γίνονται commit.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.7 Έλεγχος CSR

Ένα CSR αποδεικνύει κατοχή private key, αλλά όχι δικαίωμα χρήσης ενός ονόματος. Ελέγξτε subject, SANs, αλγόριθμο public key, μέγεθος κλειδιού, αιτούντα και προβλεπόμενο τύπο πιστοποιητικού.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.8 X.509 Extensions

Τα extensions είναι λογική ασφάλειας, όχι διακόσμηση. Basic constraints, key usage, extended key usage, subject alternative name, subject key identifier και authority key identifier καθορίζουν για ποιες χρήσεις μπορεί να γίνει αποδεκτό ένα πιστοποιητικό.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.9 SAN και μοντέλο ονομάτων

Η ταυτότητα server ελέγχεται μέσω SANs. Το common name μόνο του δεν αρκεί για σύγχρονη επαλήθευση hostname. Τα εσωτερικά namespaces, τα documentation domains και τα production domains πρέπει να παραμένουν διακριτά.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.10 Επαλήθευση chain

Ένας αξιόπιστος έλεγχος διαχωρίζει trust anchor και chain certificates. Στην πράξη χρησιμοποιήστε τη root με -CAfile, την intermediate με -untrusted, το leaf ως πιστοποιητικό στόχο και επαλήθευση hostname όπου χρειάζεται.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.11 Revocation

Το revocation είναι λειτουργική διαδικασία, όχι μεταγενέστερη σκέψη. Τα δεδομένα CRL ή OCSP πρέπει να παράγονται, να δημοσιεύονται, να παρακολουθούνται και να καταναλώνονται πράγματι από τους σχετικούς clients.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.12 Λήξη και ανανέωση

Τα πιστοποιητικά χρειάζονται περιθώριο ανανέωσης πριν η λήξη γίνει κρίσιμη. Η απόφαση καλύπτει νέο serial, νέα υπογραφή, προαιρετικά νέο κλειδί, σειρά rollout και σχέδιο rollback.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.13 Automation

Το automation μέσω Vault PKI, cert-manager, ACME, Smallstep ή SPIFFE μειώνει τη χειροκίνητη εργασία, αλλά δεν αντικαθιστά το policy. Ρόλοι, TTLs, issuers, approvers και audit παραμένουν ρητά ορισμένα.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.14 Audit και evidence

Το evidence πρέπει να δείχνει τι δημιουργήθηκε, τι ελέγχθηκε και τι εγκρίθηκε. Καλό evidence περιλαμβάνει αποτελέσματα OpenSSL, fingerprints, serial numbers, επαλήθευση chain, κατάσταση CRL ή OCSP και κανένα secret.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.15 Incident Response

Σε παραβίαση κλειδιού η σειρά έχει σημασία: εντοπίστε τα επηρεασμένα serials, κάντε revocation, ενημερώστε CRL ή OCSP, εκδώστε αντικαταστάτες, ενημερώστε operators, διατηρήστε logs και τεκμηριώστε τη root cause.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.16 Policy και CPS

Ένα Certificate Policy περιγράφει τι επιτρέπεται. Ένα Certification Practice Statement περιγράφει πώς εφαρμόζεται λειτουργικά. Ακόμη και ιδιωτικά PKIs ωφελούνται από αυτόν τον διαχωρισμό, επειδή σταθεροποιεί το review και τη λειτουργία.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.17 Περιβάλλον

WSL, VMs, bare metal και cloud διαφέρουν στη συμπεριφορά trust stores, στα file permissions, στις εκδόσεις packages και στις διαδρομές. Συνεπώς, εντολές και evidence πρέπει να κατονομάζουν το τοπικό περιβάλλον.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.18 Security Hardening

Το hardening περιλαμβάνει file permissions, διαχωρισμένους ρόλους, σύντομες διάρκειες ισχύος, ελάχιστα EKUs, ασφαλείς αλγόριθμους, offline root, ελεγχόμενες intermediate CAs και monitoring για λήξη ή ασυνήθιστη έκδοση.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.19 Troubleshooting

Το PKI troubleshooting ξεκινά από το chain: ταιριάζει το private key, είναι σωστό το CSR, υπογράφηκε σωστά το πιστοποιητικό, είναι πλήρες το chain και εμπιστεύεται ο client τη root;

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.20 Ομαδική ροή εργασίας

Σε workshops και πραγματικές ομάδες ένα άτομο πρέπει να δημιουργεί, δεύτερο να ελέγχει και τρίτο να μπορεί να αναπαράγει το evidence. Έτσι τα PKI σφάλματα γίνονται ορατά νωρίτερα.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.21 Μορφή υποβολής

Μια σωστή υποβολή περιλαμβάνει ρυθμίσεις, δημόσια τεχνουργήματα, evidence, ανάλυση αποτυχίας, σημειώσεις cleanup και σύντομη λειτουργική αξιολόγηση. Private keys και production δεδομένα απουσιάζουν συνειδητά.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.22 Μετάβαση σε production

Η μετάβαση από lab σε production δεν είναι αντιγραφή εντολών OpenSSL. Απαιτεί ρόλους, ασφαλή φύλαξη κλειδιών, monitoring, backup, διανομή revocation, τεκμηρίωση και recovery που εξασκείται τακτικά.

Συγκεκριμένες ερωτήσεις review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
• Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
• Ποια παραδοχή χρειάζεται πρόσθετο production review;
• Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
• Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.23 Ελάχιστο σύνολο evidence

evidence/
  context.md
  openssl-version.txt
  csr-review.txt
  certificate-summary.txt
  certificate-extensions.txt
  chain-verification.txt
  revocation-or-renewal-note.md
  cleanup.md

Αυτό το σύνολο είναι σκόπιμα ελάχιστο. Οι ασκήσεις Advanced προσθέτουν κατάσταση CA database, CRL, OCSP response, audit log, απόσπασμα policy, απόφαση ρόλου και χρονολόγιο incident.

A.24 Κριτήρια ποιότητας

• Το τεχνικό πεδίο είναι σαφές πριν από την εκτέλεση.
• Το chain επαληθεύεται τεχνικά, δεν περιγράφεται μόνο.
• SAN, key usage, EKU και basic constraints αξιολογούνται ρητά.
• Revocation και renewal καλύπτονται ως ζητήματα κύκλου ζωής.
• Τα private keys παραμένουν εκτός versioned περιεχομένου.
• Τα δημόσια πρότυπα διαχωρίζονται σωστά: το RFC 5280 περιγράφει profile και processing, το CA/Browser Forum διέπει δημόσια έμπιστα server certificates και το NIST SP 800-57 καθοδηγεί τη διαχείριση κλειδιών και τις διάρκειες ισχύος.