Delovanje in izredne razmere

Povzetek. Ta stran opisuje, kako se WKL TrustBridge odziva na izpade in kompromitacijo: katera funkcija ostane na voljo ob izpadu katere komponente, koliko časa je na voljo za obnovo, kako se prekličejo certifikati in razmerja, ko osrednje storitve manjkajo, in kako se obravnava kompromitiran ključ CA. Vodilo je, da so podatki o stanju robustnejši od izdaje: izostala izdaja zamuja, izostal preklic škoduje. Privzete vrednosti na koncu strani veljajo, dokler organizacija ne določi drugače.

• RPO (Recovery Point Objective) – največja sprejemljiva izguba podatkov, merjena v času.
• RTO (Recovery Time Objective) – najdaljši sprejemljivi čas do obnove.
• Rezervna instanca – pripravljena druga instanca, ki ob izpadu prevzame delo, a ne deluje sočasno.
• Izredni preklic – preklic neposredno na gostitelju delavca CA, brez podatkovne baze in upravljanja.

graph TD
  W[Delavec CA izpade] --> L[zadnji seznam preklicanih<br/>velja do nextUpdate]
  L --> T1[0 do 66 h:<br/>preverjanja uspejo]
  L --> T2[po 66 h brez novega seznama:<br/>preverjanja ne uspejo, fail closed]
  B[Rezervni delavec CA] -->|cilj: precej manj kot 66 h| N[nov seznam preklicanih]
  N --> T1
  classDef ok fill:#dff6dd,stroke:#107c10,color:#201f1e
  classDef ko fill:#fde7e9,stroke:#a4262c,color:#201f1e
  class T1 ok
  class T2 ko
  classDef tcb fill:#fde7e9,stroke:#a4262c,color:#201f1e
  class B,W tcb
  classDef neu fill:#f3f2f1,stroke:#605e5c,color:#201f1e
  class L,N neu

Fail closed. Če seznam preklicanih poteče, nov pa ni na voljo, preverjevalci zavrnejo. To je namerno: preverjevalec, ki bi sprejemal brez veljavnega stanja, bi sprejemal preklicane certifikate. Cena je tveganje za razpoložljivost, ki ga omejujeta 66-urna rezerva in rezervna instanca.

Register je edini vir resnice o izdaji in preklicu. Po obnovi iz varnostne kopije lahko zaostaja za podatkovno bazo. Delavec CA tedaj ravna takole:

1. Obnovo skupaj z zadnjim znanim sidrom vpiše kot lasten dogodek; vrnitev za sidro je s tem pojasnjena, ne prikrita.
2. Iz podatkovne baze prevzame projicirane certifikate z veljavnim podpisom CA, preden obdela nova naročila. Tako se že uporabljena serijska številka ne dodeli znova.
3. Ustvari nov seznam preklicanih s številko CRL nad vsako že objavljeno.

Če podatkovna baza ali upravljanje nista na voljo, pooblaščena oseba prekliče na konzoli gostitelja delavca CA. Naročilo za preklic gre neposredno v register; nov seznam preklicanih doseže distribucijo po drugi poti. Pogoj sta fizični ali zavarovan oddaljeni dostop do gostitelja delavca CA in uvežban postopek; koraki so opisani v Preklic certifikata.

Preklic razmerja ne potrebuje niti nasprotne strani niti podatkovne baze. Če upravljanje ni na voljo, pooblaščena oseba prekliče na konzoli gostitelja delavca CA; delavec CA ustvari nov sveženj zaupanja brez razmerja, adapterji TLS pa ga prenesejo po drugi poti. Dokler adapterji novega svežnja ne prejmejo, učinek omejuje veljavnost starega svežnja. Koraki so opisani v Preklic razmerja zaupanja.

Kompromitacija se pokaže pri urnem usklajevanju števcev podpisov HSM z registrom ali pa jo kdo prijavi od zunaj. Odziv ima šest korakov – zaznava, zajezitev, poročanje, preklic, ponovna postavitev in naknadna obdelava –, ki so opisani v Odziv na kompromitiran ključ CA. Izdajateljsko CA je mogoče preklicati samo na ceremoniji pri korenski CA; hierarhije partnerjev niso prizadete.

Če je kompromitirana korenska CA, je treba hierarhijo organizacije postaviti znova in novo sidro vnesti v vsa njena razmerja. Hierarhije partnerjev niso prizadete. Pred tem ščitijo delovanje brez povezave, pravilo več oseb in sefi.

Vsaka organizacija naslednje teste izvede pred začetkom delovanja in nato vsaj enkrat na leto. Vaje s korensko CA uporabljajo testno korensko CA.

Naslednje vrednosti veljajo, dokler organizacija ne določi drugače. Odstopanja se vpišejo v pravilnik ali politiko razmerja in zabeležijo v registru.

• Operativne organizacije posamezne organizacije. Vsaka organizacija sama imenuje vloge, skrbnike in rezervne instance; v modelu Managed operativni partner prevzame dogovorjene vloge, nikoli pa odobritve ali skrbništva.
• Odzivnih časov operativnega partnerja. Te ureja pogodba z njim.
• Vrednosti zunaj meja pravilnika; organizacija lahko privzete vrednosti zaostri in jih prilagodi znotraj meja, ne more pa jih odpraviti.