Bloqueia Nomes Alternativos de Assunto em ADCS

1

Estou gerenciando uma autoridade de certificação ADCS do Windows 2008 e tenho conhecimento dos riscos de segurança na emissão de certificados com SANs. Então testei a emissão de um arquivo PKCS10 com SANs na solicitação e ele emitiu o certificado com as SANs quando deveria estar bloqueado.

Para ter certeza, usei o comando certutil -setreg policy \ EditFlags -EDITF_ATTRIBUTESUBJECTALTNAME2 (observe o menos) para remover o sinalizador SAN se ele estivesse presente e não estava. Imagem

Isso, no entanto, bloqueia a adição de SANs dos atributos de solicitação adicionais ao usar algo assim: san:dns=webmail.domainc.com&dns=mail.domainc.com&dns=autodiscover.domainc.com

Existe uma maneira de bloquear completamente as SANs dos certificados emitidos, independentemente de onde eles são especificados?

    
por JuanKB1024 09.05.2017 / 20:40

1 resposta

0

Bem, na verdade você já fez o que deve fazer para impedir a injeção de nome de assunto não autorizado no certificado por meio da aprovação automática de solicitação. Desde que a extensão SAN seja autenticada (incorporada no CSR), não há problema em ter extensão SAN. Mark Henderson estava correto em seu comentário, você entendeu incorretamente o problema. O problema real não é com SAN, mas como é adicionado ao CSR. E é ruim permitir a SAN de atributos não autenticados, porque eles são processados e incluídos no certificado sem validação.

O que mais você pode fazer: exigir a aprovação do gerente de CA para todos os modelos de certificado que usam o valor de assunto da solicitação de entrada (não do Active Directory). Inspeção de valor de SAN para fontes não confiáveis ainda é necessária. Não há necessidade de fazer isso para modelos que criam assunto automaticamente a partir do AD, porque esses modelos ignoram completamente as informações do assunto contidas na solicitação, portanto, elas não são afetadas.

    
por 09.05.2017 / 21:41