Επισκόπηση

Αυτό το workshop οδηγεί από τις βασικές αρχές του X.509 έως τη λειτουργία μιας PKI και τα μοντέλα ασφάλειας μιας CA. Η δομή του περιλαμβάνει τεκμηρίωση στον φάκελο docs/, τέσσερα επίπεδα στο workshops/, ασκήσεις στο exercises/, Assessments και ενδεικτικές λύσεις στο assessments/, εκτελέσιμα παραδείγματα στο examples/ και βοηθητικά scripts στο scripts/.

Η έμφαση δίνεται σε πραγματικές έννοιες PKI:

• X.509 Certificates, ASN.1/PEM/DER, Subject, Issuer, Serial Number και Validity.
• Root CA, Intermediate CA, Chain Building, Trust Stores και Path Validation.
• CSRs, SANs, Key Usage, Extended Key Usage, Basic Constraints και Name Constraints.
• OpenSSL Lab, CRLs, OCSP, mTLS, Certificate Rotation και παρακολούθηση λήξης.
• Policy, CP/CPS, Key Ceremony, Offline Root, HSM/KMS και Audit.
• ACME, Let's Encrypt, Vault PKI, cert-manager, step-ca και SPIFFE/SPIRE ως λειτουργικά μοντέλα.
• Incident Response, Revocation, σενάρια συμβιβασμού και Recovery.

Γρήγορη εκκίνηση

Κατεβάστε τα αρχεία του workshop και ελέγξτε πρώτα το provisioning script με --dry-run:

# Το περιεχόμενο του workshop παρέχεται μέσω της Orthevs Academy.
chmod +x scripts/provision_certificate_authority.sh
./scripts/provision_certificate_authority.sh --dry-run
sudo ./scripts/provision_certificate_authority.sh
openssl version

Προτεινόμενη σειρά:

1. Μελέτη του Curriculum
2. Έναρξη του επιπέδου Fundamentals
3. Άνοιγμα των ασκήσεων
4. Εκτέλεση των παραδειγμάτων
5. Προετοιμασία για το Assessment

Όσα έγγραφα δεν διαθέτουν ακόμη ελληνική έκδοση εμφανίζονται στα αγγλικά. Οι σύνδεσμοι θα οδηγούν στην ελληνική έκδοση μόλις αυτή προστεθεί.

Σε ποιους απευθύνεται

Το workshop απευθύνεται σε διαχειριστές συστημάτων, ομάδες πλατφόρμας, DevOps Engineers, SREs, Security Engineers, προγραμματιστές με ευθύνη για το TLS και Tech Leads. Στόχος είναι να μπορούν να ελέγχουν τεκμηριωμένα τις Trust Chains, τον κύκλο ζωής των Certificates, τους λειτουργικούς κινδύνους και τις αποφάσεις ασφαλείας.

Διαδρομή μάθησης

Δομή του workshop

.
├── assessments/
├── docs/
├── examples/
├── exercises/
├── media/
│   └── pics/
├── scripts/
├── workshops/
├── LICENSE.md
└── README-EL.md

Τρόπος εργασίας

Χρησιμοποιείτε αποκλειστικά Lab Keys και Lab Certificates. Private Keys, Passphrases, πραγματικά Hostnames, εσωτερικά στοιχεία οργανισμών και πραγματικά δεδομένα πελατών δεν ανήκουν στα αρχεία του workshop. Για κάθε εκτέλεση καταγράφετε τον στόχο, τα αρχεία, τα παραγόμενα Artifacts, τον έλεγχο και το Cleanup.

Επίσημες πηγές

• RFC 5280
• CA/Browser Forum Baseline Requirements
• NIST SP 800-57 Part 1 Rev. 5
• OpenSSL Documentation

Άδεια χρήσης

Το εκπαιδευτικό υλικό διατίθεται, εκτός αν αναφέρεται διαφορετικά, με άδεια CC BY-NC-SA 4.0. Οι εικόνες και τα οπτικά μέσα στον φάκελο media/ εξαιρούνται και επιτρέπεται να προβάλλονται μόνο στο πλαίσιο αυτού του workshop.

Πρακτικό παράρτημα: τεκμηρίωση αποφάσεων CA

Αυτό το παράρτημα συνδέει τις τεχνικές έννοιες με επαναλήψιμα Evidence, ερωτήσεις Review, λειτουργικές αποφάσεις και απαιτήσεις Security. Τα σημεία του είναι πραγματικά κριτήρια ελέγχου για εργασία PKI με X.509, OpenSSL και συνήθη μοντέλα λειτουργίας CA, όχι υποτιθέμενες δυνατότητες κάποιου προϊόντος.

A.1 Scope και οριοθέτηση

Πριν από οποιαδήποτε εργασία με CA, πρέπει να είναι σαφές αν πρόκειται για ιδιωτική Lab PKI, εσωτερική εταιρική PKI ή δημόσια αξιόπιστα Server Certificates. Η διάκριση επηρεάζει τις ευθύνες, τις απαιτήσεις Audit, τις περιόδους ισχύος, τις διαδικασίες Revocation και τους Clients που επιτρέπεται να εμπιστεύονται το Certificate.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.2 Trust Model

Το Trust Model καθορίζει ποια Root διανέμεται ως Trust Anchor, ποιες Intermediate CAs επιτρέπεται να υπογράφουν και ποιες Relying Parties επαληθεύουν αυτή την Chain. Χωρίς αυτό το μοντέλο, ακόμη και ένα τεχνικά έγκυρο Certificate έχει ασαφή οργανωτικό ρόλο.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.3 Διαχείριση Root CA

Στο workshop, η Root CA αποτελεί τοπικό εκπαιδευτικό Artifact. Σε πραγματικά περιβάλλοντα, το Root Key προστατεύεται Offline ή σε HSM, χρησιμοποιείται σπάνια και ελέγχεται μέσω Key Ceremonies, ρόλων, καταγραφών και σχεδίων Recovery.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.4 Λειτουργία Intermediate CA

Οι Intermediate CAs αποτελούν τη λειτουργική αρχή υπογραφής. Τα Certificates τους χρειάζονται CA:TRUE, keyCertSign, cRLSign, κατάλληλους περιορισμούς Path Length και σαφές σχέδιο λήξης και Rotation.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.5 Registration Authority

Η λειτουργία RA ή έγκρισης αποφασίζει αν επιτρέπεται η υπογραφή ενός αιτήματος. Για εσωτερικούς Servers, πρέπει τουλάχιστον να είναι τεκμηριωμένα ο System Owner, το DNS Name, το περιβάλλον, ο σκοπός, η διάρκεια ισχύος, οι υπεύθυνοι και το Change Window.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.6 Προστασία Private Keys

Τα Private Keys αποτελούν το πιο κρίσιμο μέρος της PKI. Στα αρχεία του workshop επιτρέπονται μόνο Configuration, CSRs, δημόσια Certificates και Evidence. Τα Keys δημιουργούνται τοπικά στον φάκελο work/ ή σε προστατευμένα συστήματα και δεν καταχωρίζονται στο Version Control.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.7 Έλεγχος CSR

Ένα CSR αποδεικνύει την κατοχή ενός Private Key, αλλά όχι αυτομάτως την εξουσιοδότηση για ένα όνομα. Το Review ελέγχει το Subject, το SAN, τον Public Key Algorithm, το μήκος του Key, τον αιτούντα και τον προβλεπόμενο τύπο Certificate.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.8 X.509 Extensions

Τα Extensions δεν είναι διακοσμητικά στοιχεία· καθορίζουν κανόνες ασφαλείας. Τα Basic Constraints, Key Usage, Extended Key Usage, Subject Alternative Name, Subject Key Identifier και Authority Key Identifier καθορίζουν για ποιες χρήσεις επιτρέπεται να γίνει αποδεκτό ένα Certificate.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.9 SAN και μοντέλο ονομάτων

Η ταυτότητα ενός Server ελέγχεται μέσω SANs. Το Common Name δεν αρκεί για τον σύγχρονο έλεγχο Hostname. Οι εσωτερικοί χώροι ονομάτων, τα ονόματα τεκμηρίωσης και τα παραγωγικά Domains πρέπει να παραμένουν σαφώς διαχωρισμένα.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.10 Επαλήθευση Chain

Ένας αξιόπιστος έλεγχος διαχωρίζει το Trust Anchor από τα Chain Certificates. Πρακτικά, αυτό σημαίνει Root μέσω -CAfile, Intermediate μέσω -untrusted, Leaf ως Certificate προς έλεγχο και, όπου χρειάζεται, πρόσθετο έλεγχο Hostname.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.11 Revocation

Το Revocation είναι λειτουργική διαδικασία, όχι μεταγενέστερη σημείωση. Οι CRLs ή οι αποκρίσεις OCSP πρέπει να δημιουργούνται, να δημοσιεύονται, να παρακολουθούνται και να αξιολογούνται πράγματι από τους σχετικούς Clients.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.12 Λήξη και ανανέωση

Τα Certificates χρειάζονται χρονικό περιθώριο Renewal πριν από την κρίσιμη λήξη τους. Η απόφαση καλύπτει νέο Serial Number, νέα υπογραφή, ενδεχομένως νέο Key, σειρά Rollout και σχέδιο επαναφοράς.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.13 Automation

Το Automation με Vault PKI, cert-manager, ACME, Smallstep ή SPIFFE μειώνει τις χειροκίνητες εργασίες, αλλά δεν αντικαθιστά την Policy. Οι Roles, TTLs, Issuers, Approvers και το Audit πρέπει να ορίζονται ρητά.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.14 Audit και Evidence

Τα Evidence πρέπει να δείχνουν τι δημιουργήθηκε, τι ελέγχθηκε και τι αποφασίστηκε. Τα κατάλληλα στοιχεία περιλαμβάνουν αποτελέσματα OpenSSL, Fingerprints, Serial Numbers, έλεγχο Chain και κατάσταση CRL/OCSP, χωρίς Secrets.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.15 Incident Response

Σε περίπτωση συμβιβασμού Key, η σειρά ενεργειών έχει σημασία: εντοπισμός των επηρεαζόμενων Serial Numbers, Revocation, ενημέρωση CRL/OCSP, έκδοση αντικατάστασης, ενημέρωση υπευθύνων, διατήρηση Logs και τεκμηρίωση της Root Cause.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.16 Policy και CPS

Μια Certificate Policy περιγράφει τι επιτρέπεται. Ένα Certification Practice Statement περιγράφει πώς λειτουργεί η υπηρεσία. Ακόμη και οι ιδιωτικές PKIs ωφελούνται από αυτόν τον διαχωρισμό, επειδή σταθεροποιεί το Review και τη λειτουργία.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.17 Περιβάλλον

Τα WSL, VM, Bare Metal και Cloud διαφέρουν ως προς το Trust Store, τα δικαιώματα αρχείων, τις εκδόσεις πακέτων και τα Paths. Γι’ αυτό οι εντολές και τα Evidence πρέπει πάντα να προσδιορίζουν το τοπικό περιβάλλον.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.18 Security Hardening

Το Hardening περιλαμβάνει δικαιώματα αρχείων, διακριτούς ρόλους, σύντομες περιόδους ισχύος, ελάχιστα EKUs, ασφαλείς αλγορίθμους, Offline Root, ελεγχόμενες Intermediate CAs και Monitoring για λήξη ή ασυνήθιστη έκδοση Certificates.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.19 Troubleshooting

Το PKI Troubleshooting ξεκινά από την Chain και όχι από το σφάλμα του Client: ταιριάζει το Private Key, είναι σωστό το CSR, υπογράφηκε σωστά το Certificate, είναι πλήρης η Chain και εμπιστεύεται ο Client τη Root;

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.20 Team Workflow

Στα workshops και στις πραγματικές ομάδες, ένα άτομο πρέπει να μπορεί να δημιουργεί, ένα δεύτερο να ελέγχει και ένα τρίτο να επαληθεύει τα Evidence. Έτσι εντοπίζονται νωρίτερα τα σφάλματα PKI.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.21 Μορφή παραδοτέου

Ένα αξιόπιστο παραδοτέο περιλαμβάνει Configuration, δημόσια Artifacts, Evidence, ανάλυση σφαλμάτων, σημείωση Cleanup και σύντομη λειτουργική αξιολόγηση. Private Keys και παραγωγικά δεδομένα αποκλείονται συνειδητά.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.22 Μετάβαση σε Production

Η μετάβαση από το Lab σε Production δεν είναι αντιγραφή εντολών OpenSSL. Απαιτεί μοντέλο ρόλων, ασφαλή αποθήκευση Keys, Monitoring, Backup, διανομή πληροφοριών Revocation, τεκμηρίωση και τακτική άσκηση Recovery.

Συγκεκριμένες ερωτήσεις Review:

• Ποια οντότητα προστατεύεται ή υπογράφεται;
• Ποιο αρχείο ή αποτέλεσμα τεκμηριώνει τον ισχυρισμό;
• Ποιος είναι ο ρόλος της Root, της Intermediate, του Leaf ή του Client;
• Ποια παραδοχή χρειάζεται πρόσθετο έλεγχο σε Production;
• Ποια αλλαγή πρέπει να μπορεί να ιχνηλατηθεί στο Audit;
• Ποιο μέτρο Cleanup ή προστασίας αποτρέπει ακούσια διαρροή Secrets;

A.23 Ελάχιστο σύνολο Evidence

evidence/
  context.md
  openssl-version.txt
  csr-review.txt
  certificate-summary.txt
  certificate-extensions.txt
  chain-verification.txt
  revocation-or-renewal-note.md
  cleanup.md

Αυτό το σύνολο είναι σκόπιμα ελάχιστο. Στις προχωρημένες ασκήσεις προστίθενται η βάση δεδομένων της CA, η CRL, η απόκριση OCSP, το Audit Log, ένα απόσπασμα Policy, οι αποφάσεις για τους ρόλους και το χρονολόγιο του Incident.

A.24 Κριτήρια ποιότητας

• Το τεχνικό Scope είναι σαφές πριν από την εκτέλεση.
• Η Chain ελέγχεται τεχνικά και δεν περιγράφεται απλώς.
• Τα SAN, Key Usage, EKU και Basic Constraints αξιολογούνται ρητά.
• Το Revocation και το Renewal καλύπτονται ως μέρη του κύκλου ζωής.
• Τα Private Keys παραμένουν εκτός του Version Control.
• Τα δημόσια Standards διακρίνονται σωστά: το RFC 5280 ορίζει το προφίλ και την επεξεργασία, το CA/Browser Forum ρυθμίζει τα δημόσια αξιόπιστα Server Certificates και το NIST SP 800-57 βοηθά στη διαχείριση Keys και στη διάρκεια ισχύος τους.