Certifikatudstedere (CA'er) administrerer certifikatanmodninger og udsteder certifikater til deltagende enheder, såsom værter, netværksenheder eller brugere. CA'erne leverer central styring af nøgle til de deltagende enheder.

Digitale signaturer, baseret på offentlig nøglekryptering, digital godkendelse af enheder og individuelle brugere. I offentlig nøglekryptering, såsom RSA-krypteringssystemet, har hver enhed eller bruger et nøglepar, der indeholder både en privat nøgle og en offentlig nøgle. Den private nøgle er hemmelig og kendes kun af den ejerenhed eller bruger. Alle har dog kendskab til den offentlige nøgle. Alt krypteret med en af tasterne kan dekrypteres med den anden. En signatur dannes, når data krypteres med en afsenders private nøgle. Modtageren verificerer signaturen ved at dekryptere meddelelsen med afsenderens offentlige nøgle. Denne proces afhænger af, at modtageren har en kopi af afsenderens offentlige nøgle og ved, at han eller hun i høj grad ved, at den virkelig tilhører afsenderen og ikke nogen, der ser det som afsender.

Digitale certifikater linker den digitale signatur til afsenderen. Et digitalt certifikat indeholder oplysninger til at identificere en bruger eller enhed, såsom navn, serienummer, virksomhed, afdeling eller IP-adresse. Den indeholder også en kopi af enhedens offentlige nøgle. CA, som signerer certifikatet er en tredjepart, som modtageren udtrykkeligt stoler på til at validere identiteter og oprette digitale certifikater.

For at validere CA'ens underskrift skal modtageren først kende CA's offentlige nøgle. Denne proces håndteres typisk uden for båndet eller via en handling, der udføres ved installation. For eksempel er de fleste webbrowsere konfigureret med de offentlige nøgler til flere CA'er som standard.

PKI-tillidsmodel er hierarkisk med flere konfigurerbare CA'er, der kan oprettes. Du kan konfigurere hver deltagende enhed med en liste over betroede CA'er, så en peer-certifikat, der opnås under udvekslinger af sikkerhedsprotokoler, kan bekræftes, hvis den blev udstedt af en af de lokalt betroede CA'er. Cisco NX-OS-software gemmer lokalt de selv underskrevne rodcertifikat af den betroede CA (eller certifikatkæde for en underordnet CA). Processen til på sikker måde at opnå en CA's rodcertifikat (eller hele kæden i tilfælde af underordnet CA) og gemme den lokalt kaldes CA-godkendelse.

Oplysningerne om en pålidelig CA, som du har konfigureret, kaldes tillidspunktet, og CA'en kaldes i sig selv for et tillidspunkt CA. Disse oplysninger består af et CA-certifikat (eller certifikatkæde i tilfælde af en underordnet CA) og oplysninger om kontrol af tilbagekaldelse af certifikat.

Cisco NX-OS-enheden kan også tilmelde sig et tillidspunkt for at få et identitetscertifikat, der kan tilknyttes et nøglepar. Dette tillidspunkt kaldes for en identitet CA.

Du kan få et identitetscertifikat ved at generere et eller flere RSA-nøglepar og knytte hvert RSA-nøglepar med et tillidspunkt CA, hvor Cisco NX-OS-enheden har til hensigt at tilmelde sig. Cisco NX-OS-enheden behøver kun én identitet pr. CA, som består af ét nøglepar og ét identitetscertifikat pr. CA.

Cisco NX-OS-softwaren tillader dig at generere RSA-nøglepar med en konfigurerbar nøglestørrelse (eller modulus). Standardnøglestørrelsen er 512. Du kan også konfigurere en RSA-nøgleparmærkat. Standardnøglemærkaten er enheden, helt kvalificeret domænenavn (FQDN).

Følgende liste opsummerer forholdet mellem tillidspunkter, RSA-nøglepar og identitetscertifikater:

• Et tillidspunkt svarer til et specifikt CA, som Cisco NX-OS-enheden stoler på til peer-certifikat-bekræftelse for enhver applikation (såsom SSH).

• En Cisco NX-OS-enhed kan have mange tillidspunkter, og alle programmer på enheden kan have tillid til et peer-certifikat udstedt af en af tillidspunkts CA'erne.

• Et tillidspunkt er ikke begrænset til et specifikt program.

• En Cisco NX-OS-enhed tilmelder sig CA, der svarer til tillidspunktet for at få et identitetscertifikat. Du kan tilmelde din enhed med flere tillidspunkter, hvilket betyder, at du kan få et separat identitetscertifikat fra hvert tillidspunkt. Identitetscertifikaterne bruges af applikationer, afhængigt af de formål, der er angivet i certifikatet af den modtagende CA. Formålet med et certifikat er gemt i certifikatet som en certifikatforlængelse.

• Når du tilmelder dig med et tillidspunkt, skal du angive et RSA-nøglepar, der skal certificeres. Dette nøglepar skal genereres og tilknyttes tillidspunktet, før tilmeldingsanmodningen oprettes. Tilknytningen mellem tillidspunkt, nøglepar og identitetscertifikat er gyldig, indtil det udtrykkeligt fjernes ved at slette certifikatet, nøgleparret eller tillidspunktet.

• Emnenavnet i identitetscertifikatet er navnet helt kvalificeret domænenavn navn på Cisco NX-OS-enheden.

• Du kan generere et eller flere RSA-nøglepar på en enhed, og hver kan tilknyttes et eller flere tillidspunkter. Men ikke mere end ét nøglepar kan tilknyttes et tillidspunkt, hvilket betyder, at kun ét identitetscertifikat er tilladt fra et CA.

• Hvis Cisco NX-OS-enheden modtager flere identitetscertifikater (hver fra et forskellig CA), er det certifikat, som en applikation vælger at bruge i en sikkerhedsprotokoludveksling med en peer, applikationsspecifik.

• Du behøver ikke at udpege et eller flere tillidspunkter for en applikation. Enhver applikation kan bruge ethvert certifikat udstedt af ethvert tillidspunkt, så længe certifikatformålet opfylder applikationskravene.

• Du behøver ikke mere end ét identitetscertifikat fra et tillidspunkt eller mere end ét nøglepar for at blive tilknyttet et tillidspunkt. En CA bekræfter kun en given identitet (eller navn) én gang og udsteder ikke flere certifikater med samme navn. Hvis du har brug for mere end ét identitetscertifikat for en CA, og hvis CA tillader flere certifikater med de samme navne, skal du definere et andet tillidspunkt for det samme CA, knytte et andet nøglepar til det og få det bekræftet.

Cisco NX-OS-enheden kan have tillid til flere CA'er ved at konfigurere flere tillidspunkter og knytte hver til et forskellig CA. Med flere betroede CA'ere behøver du ikke tilmelde en enhed med det specifikke CA, der udstedte certifikatet til en peer. I stedet kan du konfigurere enheden med flere betroede CA'er, som peer har tillid til. Cisco NX-OS-enheden kan derefter bruge en konfigureret ca, der er tillid til, til at bekræfte certifikater, som er modtaget fra en peer, som ikke blev udstedt af det samme CA, som er defineret i peer-enhedens identitet.

Tilmelding er processen med at opnå et identitetscertifikat til enheden, der bruges til applikationer såsom SSH. Det sker mellem enheden, der anmoder om certifikatet og certifikatmyndigheden.

Cisco NX-OS-enheden udfører følgende trin, når du udfører PKI-tilmeldingsprocessen:

• Genererer et RSA privat og offentligt nøglepar på enheden.

• Genererer en certifikatanmodning i standardformat og videresender den til CA.

CA-administratoren kan blive bedt om manuelt at godkende tilmeldingsanmodningen på CA-serveren, når anmodningen modtages af CA.

• Modtager det udstedte certifikat tilbage fra CA, signeret med CA's private nøgle.

• Skriver certifikatet i et ikke-maskinel hukommelsesområde på enheden (bootflash).

Cisco NX-OS software understøtter certifikathentning og tilmelding ved hjælp af manuel cut-and-paste. Cut-and-paste tilmelding betyder, at du skal klippe og indsætte certifikatanmodninger og efterfølgende certifikater mellem enheden og CA.

Du skal udføre følgende trin, når du bruger udklip og sæt ind i den manuelle tilmeldingsproces:

• Opret en tilmeldingscertifikatanmodning, som Cisco NX-OS-enheden viser i base64-kodet tekstformular.

• Klippe og indsætte den kodede certifikatanmodningstekst i en e-mail eller i en webformular og sende den til CA.

• Modtag det udstedte certifikat (i base64-kodet tekstformular) fra CA i en e-mail eller i en download af webbrowser.

• Klippe og indsætte det udstedte certifikat til enheden ved hjælp af certifikatimportcentret.

Flere identitets-CA'er gør enheden i stand til at tilmelde sig med mere end ét tillidspunkt, hvilket resulterer i flere identitetscertifikater, hver fra et forskellig CA. Med denne funktion kan Cisco NX-OS-enheden deltage i SSH og andre programmer med mange peers ved hjælp af certifikater udstedt af CA'er, som er acceptable for disse peers.

Funktionen flere RSA-nøglepar tillader enheden at opretholde et forskelligt nøglepar for hver CA, som den er tilmeldt. Den kan passe med politikkravene for hver CA uden at være i modstrid med kravene angivet af de andre CA'er, såsom nøglelængden. Enheden kan generere flere RSA-nøglepar og knytte hvert nøglepar til et forskellig tillidspunkt. Derefter, når du tilmelder dig et tillidspunkt, bruges det tilknyttede nøglepar til at oprette certifikatanmodningen.

PKI-support på en Cisco NX-OS-enhed kan verificere peer-certifikater. Cisco NX-OS-softwaren verificerer certifikater modtaget fra peers under sikkerheds udvekslinger for applikationer, såsom SSH. Applikationerne verificerer gyldigheden af peer-certifikaterne. Cisco NX-OS-softwaren udfører følgende trin, når peer-certifikater verificeres:

• Kontrollerer, at certifikatet peer-certifikat er udstedt af en af de lokalt betroede CA'er.

• Kontrollerer, at peer-certifikat er gyldig (ikke udløbet) med hensyn til det aktuelle tidspunkt.

• Kontrollerer, at peer-certifikat ikke er tilbagekaldt af den nøglecenter, der handler.

For kontrol af tilbagekaldelse understøtter Cisco NX-OS-softwaren tilbagekaldelseslisten for certifikater (CRL). En tillidspunkt-CA kan bruge denne metode til at bekræfte, at peer-certifikat ikke er blevet tilbagekaldt.

Cisco NX-OS-softwaren kan kontrollere tilbagekaldelsesstatus for CA-certifikater. Applikationerne kan bruge tilbagekaldelseskontrol mekanismerne i den rækkefølge, du angiver. Valgmulighederne er CRL, ingen eller en kombination af disse metoder.

Som en del af CA-godkendelses- og tilmeldingsprocessen kan det underordnede CA-certifikat (eller certifikatkæde) og identitetscertifikater importeres i standard PEM-format (base64).

De komplette identitetsoplysninger i et tillidspunkt kan eksporteres til en fil i standardformatet til den adgangskodebeskyttede PKCS#12. Det kan importeres senere til den samme enhed (f.eks. efter et systemnedbrud) eller til en erstatningsenhed. Oplysningerne i en PKCS#12-fil består af RSA-nøgleparret, identitetscertifikatet og CA-certifikatet (eller kæden).

Du kan sikre, at trustpoint-konfigurationen fortsætter på tværs af Cisco NX-OS-enheden genstarter.

Tillidspunktkonfigurationen er en normal Cisco NX-OS-enhedskonfiguration, der fortsætter på tværs af systemgenstart, men kun hvis du kopierer den eksplicit til opstartskonfigurationen. Certifikater, nøglepar og CRL, der er knyttet til et tillidspunkt, er automatisk vedvarende, hvis du allerede har kopieret konfigurationen af tillidspunkt i opstartskonfigurationen. Selv om tillidspunktkonfigurationen ikke kopieres til opstartskonfigurationen, er certifikaterne, nøgleparpar og CRL, der er knyttet til den, ikke vedvarende, da de kræver konfiguration af det tilsvarende tillidspunkt efter en genstart. Kopier altid den kørende konfiguration til opstartskonfigurationen for at sikre, at de konfigurerede certifikater, nøglepar og CRLs er vedvarende. Gem også den kørende konfiguration efter sletning af et certifikat eller nøglepar for at sikre, at sletningen er permanent.

Certifikaterne og CRL, der er tilknyttet et tillidspunkt, bliver automatisk vedvarende, når de importeres (dvs. uden udtrykkelig kopiering til opstartskonfiguration), hvis det specifikke tillidspunkt allerede er gemt i opstartskonfigurationen.

Vi anbefaler, at du opretter en adgangskodebeskyttet sikkerhedskopi af identitetscertifikaterne og gemmer den på en ekstern server.

Kopiering af konfigurationen til en ekstern server inkluderer certifikaterne og nøgleparret.