Orthevs Orthevs Fathom new horizons
Μενού

Wiki workshop · Ελληνικά

Ασκήσεις επαγγελματικού CA με λύσεις

Δέκα ασκήσεις CA για Λειτουργία CA, Ροή issuance, Αυτοματοποίηση renewal, ACME και τεκμηριωμένο PKI evidence.

Γλώσσα περιεχομένου · ΕλληνικάΜέγεθος · 107.2 KBexercises/03-professional-exercises-certificate-authority-EL.md
Παραδείγματα workshop σε ZIP
Πρόοδος μάθησης στη web app

Σημειώστε κεφάλαια ως αναγνωσμένα, δείτε την πρόοδο ανάγνωσης και ολοκληρώστε πρακτικές ενότητες αφού ενεργοποιήσετε την προαιρετική web app. Η πρόοδος του workshop υπολογίζεται από τα κεφάλαια όλων των σελίδων τεκμηρίωσης. Οι επιλογές μένουν σε αυτή τη συσκευή· δεν υπάρχει λογαριασμός ή συγχρονισμός με server. Δεν απαιτείται εγκατάσταση. Η ανάκληση στις Ρυθμίσεις απορρήτου διαγράφει την πρόοδο.

Πρόοδος ανάγνωσης0%
0%
0 / 19 κεφάλαια που διαβάστηκαν
Άλλη γλωσσική έκδοσηΓερμανικά ↗Αγγλικά ↗

Workshop Certificate Authority: Ασκήσεις επαγγελματικού με λύσεις

1. Στόχος

Το θέμα «Στόχος» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Στόχος»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Στόχος»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Στόχος»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

01 / 19

2. Σενάριο

Το θέμα «Σενάριο» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Σενάριο»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Σενάριο»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Σενάριο»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

02 / 19

3. Κανόνες εργασίας

Το θέμα «Κανόνες εργασίας» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Κανόνες εργασίας»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Κανόνες εργασίας»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Κανόνες εργασίας»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

03 / 19

4. Επισκόπηση εργασιών

Το θέμα «Επισκόπηση εργασιών» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Επισκόπηση εργασιών»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Επισκόπηση εργασιών»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Επισκόπηση εργασιών»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

Αρ. Θέμα Αποτέλεσμα
1 Λειτουργία CA OpenSSL artifact, evidence και cleanup
2 Ροή issuance OpenSSL artifact, evidence και cleanup
3 Αυτοματοποίηση renewal OpenSSL artifact, evidence και cleanup
4 ACME OpenSSL artifact, evidence και cleanup
5 Vault PKI OpenSSL artifact, evidence και cleanup
6 cert-manager OpenSSL artifact, evidence και cleanup
7 step-ca OpenSSL artifact, evidence και cleanup
8 Monitoring OpenSSL artifact, evidence και cleanup
9 Backup/Restore OpenSSL artifact, evidence και cleanup
10 Runbooks OpenSSL artifact, evidence και cleanup
04 / 19

5. Μέρος A: Εργασίες

Το θέμα «Μέρος A: Εργασίες» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Μέρος A: Εργασίες»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Μέρος A: Εργασίες»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Μέρος A: Εργασίες»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

05 / 19

Άσκηση 1: Λειτουργία CA

Το θέμα «Λειτουργία CA» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Λειτουργία CA»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Λειτουργία CA»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Λειτουργία CA»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

06 / 19

Άσκηση 2: Ροή issuance

Το θέμα «Ροή issuance» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Ροή issuance»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Ροή issuance»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Ροή issuance»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

07 / 19

Άσκηση 3: Αυτοματοποίηση renewal

Το θέμα «Αυτοματοποίηση renewal» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Αυτοματοποίηση renewal»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Αυτοματοποίηση renewal»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Αυτοματοποίηση renewal»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

08 / 19

Άσκηση 4: ACME

Το θέμα «ACME» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «ACME»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «ACME»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «ACME»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

09 / 19

Άσκηση 5: Vault PKI

Το θέμα «Vault PKI» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Vault PKI»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Vault PKI»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Vault PKI»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

10 / 19

Άσκηση 6: cert-manager

Το θέμα «cert-manager» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «cert-manager»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «cert-manager»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «cert-manager»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

11 / 19

Άσκηση 7: step-ca

Το θέμα «step-ca» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «step-ca»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «step-ca»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «step-ca»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

12 / 19

Άσκηση 8: Monitoring

Το θέμα «Monitoring» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Monitoring»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Monitoring»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Monitoring»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

13 / 19

Άσκηση 9: Backup/Restore

Το θέμα «Backup/Restore» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Backup/Restore»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Backup/Restore»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Backup/Restore»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

14 / 19

Άσκηση 10: Runbooks

Το θέμα «Runbooks» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Runbooks»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Runbooks»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Runbooks»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

15 / 19

6. Μέρος B: Ενδεικτικές λύσεις

Το θέμα «Μέρος B: Ενδεικτικές λύσεις» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Μέρος B: Ενδεικτικές λύσεις»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Μέρος B: Ενδεικτικές λύσεις»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Μέρος B: Ενδεικτικές λύσεις»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

16 / 19

7. Κριτήρια αξιολόγησης

Το θέμα «Κριτήρια αξιολόγησης» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Κριτήρια αξιολόγησης»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Κριτήρια αξιολόγησης»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Κριτήρια αξιολόγησης»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

17 / 19

8. Cleanup

Το θέμα «Cleanup» εξετάζεται ως ελέγξιμο δομικό στοιχείο PKI. Το σημαντικό δεν είναι μόνο ότι μια εντολή δημιουργεί certificate, αλλά να είναι κατανοητά ο σκοπός, τα extensions, η trust chain, η διάρκεια ισχύος, το key usage και το cleanup.

Ερώτηση review Αναμενόμενο
Ποια οντότητα προστατεύεται; Κατονομάζεται host, service, client, CA ή workload.
Ποιος είναι issuer και ποιος subject; Τεκμηριώνεται η έξοδος του openssl x509 -issuer -subject.
Ποια extensions είναι κρίσιμα; Ελέγχονται SAN, Key Usage, EKU και Basic Constraints.
Πώς δημιουργείται η εμπιστοσύνη; Το chain file και το trust anchor ορίζονται ρητά.
Πώς αντιμετωπίζεται το revocation; Τεκμηριώνεται CRL, OCSP ή αιτιολογημένο όριο του lab.
bash
openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Μια καλή λύση δηλώνει επίσης αν αφορά ιδιωτικό lab PKI, εσωτερικό enterprise PKI ή δημόσια έμπιστο TLS. Τα δημόσια έμπιστα certificates υπόκεινται σε πρόσθετες CA/Browser Forum Baseline Requirements· ένα CA workshop σε lab δεν αντικαθιστά αυτές τις απαιτήσεις.

Αναμενόμενη πρακτική και review για το θέμα «Cleanup»

  • Τα private keys δημιουργούνται μόνο στο lab και δεν γίνονται commit.
  • Τα configurations χρησιμοποιούν δοκιμαστικά DNs και documentation domains.
  • Τα CA certificates έχουν CA:TRUE, ενώ τα end-entity certificates έχουν CA:FALSE.
  • Τα server certificates περιέχουν SANs· το Common Name δεν χρησιμοποιείται ως μοναδικός έλεγχος hostname.
  • Η chain επαληθεύεται με OpenSSL και δεν ελέγχεται μόνο οπτικά.
  • Expiry, renewal και revocation τεκμηριώνονται ως ενιαίο lifecycle.
  • Τα θέματα ασφάλειας περιγράφουν attack surface, detection και recovery.

Συνηθισμένα λάθη για το θέμα «Cleanup»

Αστοχία Αιτία Διάγνωση
unable to get local issuer certificate Λείπει η chain ή το trust anchor openssl verify -show_chain
Hostname mismatch Λείπει SAN ή το DNS name είναι λάθος openssl x509 -text και δοκιμή client
Key mismatch Συγχέθηκαν CSR, key και certificate Συγκρίνετε public-key fingerprints.
Η CA δεν μπορεί να υπογράψει Λάθος Basic Constraints ή Key Usage Εξετάστε τα extensions.
Το revocation δεν είναι αποτελεσματικό CRL/OCSP δεν δημοσιεύεται ή δεν ελέγχεται Ελέγξτε CRL Distribution Point και συμπεριφορά client.

Παράδειγμα υποβολής για το θέμα «Cleanup»

text
submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Το evidence περιέχει σχετική έξοδο OpenSSL, χωρίς private keys.

18 / 19

Πρακτικό παράρτημα: CA evidence για αυτή την άσκηση

Το παράρτημα ολοκληρώνει το υλικό του workshop: συνδέει το θέμα με επαναλήψιμο evidence, ερωτήσεις review, λειτουργικές αποφάσεις και απαιτήσεις ασφάλειας. Τα σημεία δεν είναι επινοημένες λειτουργίες προϊόντος, αλλά πραγματικά κριτήρια ελέγχου για εργασία PKI με X.509, OpenSSL και συνήθη μοντέλα λειτουργίας CA.

A.1 Πεδίο εφαρμογής και όρια

Κάθε εργασία CA ξεκινά με τη διάκριση μεταξύ ιδιωτικού lab PKI, εσωτερικού enterprise PKI και δημόσια έμπιστων server certificates. Αυτή η διάκριση αλλάζει τις ευθύνες, τις απαιτήσεις audit, τις περιόδους ισχύος, τη διαχείριση revocation και τους clients που μπορούν να εμπιστεύονται το πιστοποιητικό.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.2 Μοντέλο εμπιστοσύνης

Το trust model ορίζει ποια root διανέμεται ως trust anchor, ποιες intermediate CAs μπορούν να υπογράφουν και ποια relying parties αξιολογούν το chain. Χωρίς αυτό το μοντέλο, ακόμη και ένα τεχνικά έγκυρο πιστοποιητικό μπορεί να είναι λειτουργικά ασαφές.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.3 Διαχείριση Root CA

Στο workshop η Root CA είναι τοπικό εκπαιδευτικό τεχνούργημα. Σε πραγματικά περιβάλλοντα το root key φυλάσσεται offline ή σε HSM και ελέγχεται με ceremonies, διαχωρισμένους ρόλους, logs και σχέδια recovery.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.4 Λειτουργία Intermediate CA

Οι Intermediate CAs αποτελούν το λειτουργικό επίπεδο υπογραφής. Τα πιστοποιητικά τους χρειάζονται CA:TRUE, keyCertSign, cRLSign, κατάλληλους περιορισμούς path length και σαφές σχέδιο κύκλου ζωής και rotation.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.5 Registration Authority

Η RA ή διαδικασία έγκρισης αποφασίζει αν ένα αίτημα επιτρέπεται να υπογραφεί. Για εσωτερικούς servers πρέπει να είναι ανιχνεύσιμα τουλάχιστον ο system owner, το DNS name, το περιβάλλον, ο σκοπός, η διάρκεια ισχύος, η υπεύθυνη ομάδα και το change window.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.6 Προστασία Private Keys

Τα private keys είναι τα πιο ευαίσθητα PKI assets. Τα repositories πρέπει να περιέχουν μόνο ρυθμίσεις, CSRs, δημόσια πιστοποιητικά και evidence. Στα labs τα κλειδιά δημιουργούνται κάτω από work/ ή σε προστατευμένα συστήματα και δεν γίνονται commit.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.7 Έλεγχος CSR

Ένα CSR αποδεικνύει κατοχή private key, αλλά όχι δικαίωμα χρήσης ενός ονόματος. Ελέγξτε subject, SANs, αλγόριθμο public key, μέγεθος κλειδιού, αιτούντα και προβλεπόμενο τύπο πιστοποιητικού.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.8 X.509 Extensions

Τα extensions είναι λογική ασφάλειας, όχι διακόσμηση. Basic constraints, key usage, extended key usage, subject alternative name, subject key identifier και authority key identifier καθορίζουν για ποιες χρήσεις μπορεί να γίνει αποδεκτό ένα πιστοποιητικό.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.9 SAN και μοντέλο ονομάτων

Η ταυτότητα server ελέγχεται μέσω SANs. Το common name μόνο του δεν αρκεί για σύγχρονη επαλήθευση hostname. Τα εσωτερικά namespaces, τα documentation domains και τα production domains πρέπει να παραμένουν διακριτά.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.10 Επαλήθευση chain

Ένας αξιόπιστος έλεγχος διαχωρίζει trust anchor και chain certificates. Στην πράξη χρησιμοποιήστε τη root με -CAfile, την intermediate με -untrusted, το leaf ως πιστοποιητικό στόχο και επαλήθευση hostname όπου χρειάζεται.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.11 Revocation

Το revocation είναι λειτουργική διαδικασία, όχι μεταγενέστερη σκέψη. Τα δεδομένα CRL ή OCSP πρέπει να παράγονται, να δημοσιεύονται, να παρακολουθούνται και να καταναλώνονται πράγματι από τους σχετικούς clients.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.12 Λήξη και ανανέωση

Τα πιστοποιητικά χρειάζονται περιθώριο ανανέωσης πριν η λήξη γίνει κρίσιμη. Η απόφαση καλύπτει νέο serial, νέα υπογραφή, προαιρετικά νέο κλειδί, σειρά rollout και σχέδιο rollback.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.13 Automation

Το automation μέσω Vault PKI, cert-manager, ACME, Smallstep ή SPIFFE μειώνει τη χειροκίνητη εργασία, αλλά δεν αντικαθιστά το policy. Ρόλοι, TTLs, issuers, approvers και audit παραμένουν ρητά ορισμένα.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.14 Audit και evidence

Το evidence πρέπει να δείχνει τι δημιουργήθηκε, τι ελέγχθηκε και τι εγκρίθηκε. Καλό evidence περιλαμβάνει αποτελέσματα OpenSSL, fingerprints, serial numbers, επαλήθευση chain, κατάσταση CRL ή OCSP και κανένα secret.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.15 Incident Response

Σε παραβίαση κλειδιού η σειρά έχει σημασία: εντοπίστε τα επηρεασμένα serials, κάντε revocation, ενημερώστε CRL ή OCSP, εκδώστε αντικαταστάτες, ενημερώστε operators, διατηρήστε logs και τεκμηριώστε τη root cause.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.16 Policy και CPS

Ένα Certificate Policy περιγράφει τι επιτρέπεται. Ένα Certification Practice Statement περιγράφει πώς εφαρμόζεται λειτουργικά. Ακόμη και ιδιωτικά PKIs ωφελούνται από αυτόν τον διαχωρισμό, επειδή σταθεροποιεί το review και τη λειτουργία.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.17 Περιβάλλον

WSL, VMs, bare metal και cloud διαφέρουν στη συμπεριφορά trust stores, στα file permissions, στις εκδόσεις packages και στις διαδρομές. Συνεπώς, εντολές και evidence πρέπει να κατονομάζουν το τοπικό περιβάλλον.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.18 Security Hardening

Το hardening περιλαμβάνει file permissions, διαχωρισμένους ρόλους, σύντομες διάρκειες ισχύος, ελάχιστα EKUs, ασφαλείς αλγόριθμους, offline root, ελεγχόμενες intermediate CAs και monitoring για λήξη ή ασυνήθιστη έκδοση.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.19 Troubleshooting

Το PKI troubleshooting ξεκινά από το chain: ταιριάζει το private key, είναι σωστό το CSR, υπογράφηκε σωστά το πιστοποιητικό, είναι πλήρες το chain και εμπιστεύεται ο client τη root;

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.20 Ομαδική ροή εργασίας

Σε workshops και πραγματικές ομάδες ένα άτομο πρέπει να δημιουργεί, δεύτερο να ελέγχει και τρίτο να μπορεί να αναπαράγει το evidence. Έτσι τα PKI σφάλματα γίνονται ορατά νωρίτερα.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.21 Μορφή υποβολής

Μια σωστή υποβολή περιλαμβάνει ρυθμίσεις, δημόσια τεχνουργήματα, evidence, ανάλυση αποτυχίας, σημειώσεις cleanup και σύντομη λειτουργική αξιολόγηση. Private keys και production δεδομένα απουσιάζουν συνειδητά.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.22 Μετάβαση σε production

Η μετάβαση από lab σε production δεν είναι αντιγραφή εντολών OpenSSL. Απαιτεί ρόλους, ασφαλή φύλαξη κλειδιών, monitoring, backup, διανομή revocation, τεκμηρίωση και recovery που εξασκείται τακτικά.

Πεδίο review Αναμενόμενο
Στόχος Η ενότητα απαντάται συγκεκριμένα στο πλαίσιο του 03-professional-exercises-certificate-authority-EL.md.
Evidence Η δήλωση τεκμηριώνεται με ρυθμίσεις, αποτέλεσμα OpenSSL, logs, fingerprints, serial numbers ή καταγεγραμμένη απόφαση.
Κίνδυνος Ελλιπή ή λανθασμένα δεδομένα μπορεί να οδηγήσουν σε εσφαλμένη εμπιστοσύνη, διακοπή υπηρεσίας ή revocation χωρίς δυνατότητα ιχνηλάτησης.

Συγκεκριμένες ερωτήσεις review:

  • Ποια οντότητα προστατεύεται ή υπογράφεται;
  • Ποιο αρχείο ή αποτέλεσμα στηρίζει τη δήλωση;
  • Ποιον ρόλο παίζει η root, η intermediate, το leaf ή ο client;
  • Ποια παραδοχή χρειάζεται πρόσθετο production review;
  • Ποια αλλαγή πρέπει να είναι ανιχνεύσιμη στο audit;
  • Ποιο βήμα cleanup ή προστασίας αποτρέπει τυχαία διαρροή secrets;

A.23 Ελάχιστο σύνολο evidence

text
evidence/
  context.md
  openssl-version.txt
  csr-review.txt
  certificate-summary.txt
  certificate-extensions.txt
  chain-verification.txt
  revocation-or-renewal-note.md
  cleanup.md

Αυτό το σύνολο είναι σκόπιμα ελάχιστο. Οι ασκήσεις Advanced προσθέτουν κατάσταση CA database, CRL, OCSP response, audit log, απόσπασμα policy, απόφαση ρόλου και χρονολόγιο incident.

A.24 Κριτήρια ποιότητας

  • Το τεχνικό πεδίο είναι σαφές πριν από την εκτέλεση.
  • Το chain επαληθεύεται τεχνικά, δεν περιγράφεται μόνο.
  • SAN, key usage, EKU και basic constraints αξιολογούνται ρητά.
  • Revocation και renewal καλύπτονται ως ζητήματα κύκλου ζωής.
  • Τα private keys παραμένουν εκτός versioned περιεχομένου.
  • Τα δημόσια πρότυπα διαχωρίζονται σωστά: το RFC 5280 περιγράφει profile και processing, το CA/Browser Forum διέπει δημόσια έμπιστα server certificates και το NIST SP 800-57 καθοδηγεί τη διαχείριση κλειδιών και τις διάρκειες ισχύος.
19 / 19

PKI · Orthevs Academy

31 modules ως ενιαία διαδρομή μάθησης.

Η σειρά παραμένει αμετάβλητη: από τη βασική δομή του lab μέσω τεχνικών θεμελίων και λειτουργικών μοντέλων έως το τελικό troubleshooting. Τα τεχνικά ονόματα καταλόγων διατηρούνται σκόπιμα.

Πρακτικά modules

Το Orthevs ως εφαρμογή

Εγκατάσταση του Orthevs

Η web app του Orthevs μπορεί να εγκατασταθεί σε υποστηριζόμενες κινητές συσκευές και browsers υπολογιστή.

iPhone και iPad

Ανοίξτε το Orthevs στο Safari. Πατήστε Κοινή χρήση και μετά Προσθήκη στην οθόνη αφετηρίας. Ενεργοποιήστε το Άνοιγμα ως web app, αν εμφανίζεται, και πατήστε Προσθήκη.

Android

Για τη web app, ανοίξτε το μενού του browser και επιλέξτε Εγκατάσταση εφαρμογής ή Προσθήκη στην αρχική οθόνη. Επιβεβαιώστε την εγκατάσταση.

Browser υπολογιστή

Ανοίξτε το μενού του browser ή το εικονίδιο εγκατάστασης στη γραμμή διευθύνσεων και επιλέξτε Εγκατάσταση εφαρμογής ή Προσθήκη στο Dock.

Η εγκατάσταση της web app εξαρτάται από τον browser. Αν δεν εμφανιστεί διάλογος εγκατάστασης, ακολουθήστε τα βήματα του browser που αναφέρονται παραπάνω.