我记得读过有关为 CA 计算机设置气隙的必要性（永远不要将其连接到任何网络，没有 USB 加密狗等）。
我正在准备设置许多证书（用于签名的 csr、用于 Apache 中客户端验证的客户端证书、WPA2 等），我想知道我实际上如何与计算机隔离。主要问题是：
- 如何保持操作系统更新？
- 我如何进行实际签名（即将 csr 传输到 CA 计算机以进行签名和传输回签名证书）？
我知道使用中间证书可以让我的生活更轻松一些，但我不明白如何 - 我仍然需要尽可能安全地保存中间证书，不是吗？
我如何实际使我的 CA 计算机气隙？
信息安全
证书
证书颁发机构
2021-08-27 07:02:28
3个回答
如果你真的，真的，真的很认真，那么：
- 你没有。万一您觉得需要更新，您可以从刻录的 CD/DVD 重新安装。
- 任何数据都必须手动传输。您可以从一个屏幕阅读并在另一台计算机上输入，您可以考虑使用可以打印和扫描的二维码。由于不需要移动太多数据，因此可以这样做。
所有 Windows 更新都可以下载，您可以在本地应用，Linux 也是如此。企业管理工具还可用于提供网络更新，而无需将 CA 机器连接到 Internet。您可以使用仅允许连接到管理服务器地址的 Windows 防火墙规则临时连接到本地网络。
中间证书的作用类似于根证书，但范围更有限。因此，您可以创建一组用于特定签名目的的中间证书，并具有较短的到期日期，以限制它们被泄露的影响。是的，您仍然需要保持中间证书的安全，但如果操作正确，妥协的影响会小得多。
如果您需要创建新的中间证书，请使用干净的 U 盘或类似设备在 CA 机器上创建。
显然，您将了解您必须确保 CA 机器的物理安全。它应该放在安全房间的安全柜中。必须严格控制对机器的访问并仔细记录所有访问。
更新：其他人提到使用硬件加密模块（HSM）。当然，这也将提高 CA 机器上的安全性，使其更难破坏密钥，强烈推荐。我之前应该包括在内。
有一个解决方案，您可以避免这种气隙及其带来的风险/困难，但仍能获得相同的安全性。
您要防止的是 CA 私钥的泄露。如果 CA 私钥被泄露，你就完蛋了，需要更换 CA。但是对于客户端身份验证 CA，恶意软件是否设法获得签名并不重要，因为您以后可以轻松地撤销该证书。
这种安全性可以通过将私钥存储在称为“HSM”的安全设备上来获得。有许多设备具有 HSM 的安全功能，但我推荐的是 Yubikey 4。
Yubikey 4 的好处是它可以设置为在签名之前需要按下物理按钮，这也可以防止恶意软件滥用签名。
您想要拥有的是经过安全认证的设备，例如私钥永远不会触及不安全的设备（计算机）。
您还可以将智能卡、USB PKI 记忆棒和类似设备用作 HSM。
拥有一个充当签名者并存储私钥的小型设备的好处是，只需将设备锁定在保险箱或银行存款箱中，就可以轻松地对其进行物理保护。