PKI: Differenza tra CPS e CP

Il CP descrive quali sono i requisiti. Il CPS descrive in che modo vengono soddisfatti tali requisiti.

Ad esempio, il CP può richiedere che la CA principale debba essere configurata in modo che richieda la presenza di due persone da reparti separati per portarla online. Il CPS deve quindi descrivere il modo in cui questo viene raggiunto, mantenendolo in una struttura sicura che richiede due chiavi separate o richiedendo due passphrase separate da inserire o richiedendo due smart card separate. Se è necessario modificare la modalità di funzionamento della CA, ad es. quando è necessario spostarsi in una nuova struttura con regole di accesso diverse o quando si passa a un nuovo sistema operativo, potrebbe essere necessario riscrivere il CPS ma non è necessario modificare il CP.

Inoltre, mentre entrambi i documenti possono essere scritti dalla stessa organizzazione, vale a dire l'entità che esegue la CA, consiglio vivamente di essere scritti da parti separati dell'organizzazione. Per un affidabile sistema PKI, la separazione dei compiti è essenziale, e non solo nelle operazioni, ma anche nella supervisione. Le persone che gestiscono la CA dovrebbero essere supervisionate da un altro dipartimento, il cui compito è quello di impostare gli standard e verificare che le operazioni seguano tali standard. Se le stesse persone fanno entrambe le cose, stanno effettivamente controllando se stesse - in altre parole, non hanno affatto controllo. Come consulente, a volte mi è stato chiesto di scrivere entrambi i documenti, e consiglio sempre strongmente contro di esso. Preferirei che il mio cliente portasse un concorrente a fare uno di loro, o per lo meno, a verificare il mio lavoro, piuttosto che rischiare che io sia io a scrivere le condizioni e adempierle.

Vorrei iniziare ripetendo ciò che è già noto:

CP sets out the Policy and CPS describes the Practice (how the Policy is implemented)

Come da RFC, la Politica (CP) dovrebbe indicare a) quali requisiti vengono soddisfatti eb) quali regole saranno applicate per soddisfarli. È destinato ad essere di alto livello. Per determinare se un particolare certificato soddisferà determinati requisiti aziendali e se può "interagire" con un altro certificato il cui CP è simile / uguale.

La Practice Statement (CPS) deve entrare nei dettagli, espandendo il modo in cui è implementata. Non può discostarsi da CP, ma può chiarire qualsiasi potenziale ambiguità - in particolare con il resto. implementazione.

Can someone explain what the real value of having both a CPS and a CP is, when they are written by the same CA, and whether or not it would be good practice to only write a CPS in that case?

Se stavo cercando di scegliere un certificato (PKI per la precisione) per le mie esigenze di business, il CP sarebbe il documento più adatto a cui fare riferimento, poiché riguarda l'applicabilità allo scopo.

Se fossi una nuova CA che cercasse di ottenere il più rapidamente possibile l'accettazione, identificare l'PKI common purpose e compatibile sarebbe importante - e per questo CP è il più documento adatto a cui fare riferimento.

I potrebbe inferire anche questi dal CPS, ma sarebbe molto complicato e se il CPS non fa esplicita menzione di una regola o uno scopo, probabilmente non accurato.

Quindi la mia opinione è: Sì, un CPS da solo potrebbe essere sufficiente, ma solo se fa esplicitamente menzionare lo scopo, l'applicabilità e le regole - eliminando così l'ipotesi lavoro. Se lo fa, forse quella sezione potrebbe anche essere indicata come Sezione CP, e ciò significa che siamo tornati al punto in cui ci troviamo.

Shouldn't there be a global standard CP, which can be used by all CAs to base their CPS on?

Cavalli per i corsi. Dopo aver scritto lo standard, si sono evoluti diversi scopi comuni. Quindi, con il senno di poi, potremmo avere alcuni set di CP standard globali, senza escludere nuovi tipi di PKI.

Gli organismi degli standard sono sempre alle prese con quanto dovrebbero essere stretti gli standard, per non soffocare l'innovazione. Standard più rigorosi = più interoperabilità, ma anche maggiore pressione per la conformità, perché ogni potenziale innovazione può anche essere vista come una deviazione rispetto allo standard. Non fermerà del tutto l'innovazione, ma lo renderà sicuramente difficile. Per questo motivo, penso che fosse ok quando è stato scritto lo standard. Forse la mancanza di uno standard globale in questo settore non fa ancora troppo male adesso. Ma questa è solo la mia opinione.