Certificeringsinstanties (CAs) beheren certificaataanvragen en geven certificaten uit aan deelnemende entiteiten zoals hosts, netwerkapparaten of gebruikers. De CAs bieden gecentraliseerd sleutelbeheer voor de deelnemende entiteiten.

Digitale handtekeningen, gebaseerd op cryptografie in de openbare sleutel, apparaten en afzonderlijke gebruikers digitaal verifiëren. In cryptografie voor de openbare sleutel, zoals het RSA-coderingssysteem, heeft elk apparaat of gebruiker een sleutelpaar dat zowel een privésleutel als een openbare sleutel bevat. De privésleutel wordt geheim gehouden en is alleen bekend bij het eigen apparaat of alleen voor gebruikers. De openbare sleutel is echter bekend voor iedereen. Alles gecodeerd met een van de sleutels kan met de andere worden gedecodeerd. Een handtekening wordt gevormd wanneer gegevens worden gecodeerd met de privésleutel van de afzender. De ontvanger verifieert de handtekening door het bericht te decoderen met de openbare sleutel van de afzender. Dit proces is afhankelijk van de ontvanger die een kopie van de openbare sleutel van de afzender heeft en weet met een hoge kwaliteit van het ontvangen dat het echt tot de afzender behoort en niet aan iemand die de afzender is.

Digitale certificaten koppelen de digitale handtekening aan de afzender. Een digitaal certificaat bevat informatie om een gebruiker of apparaat te identificeren, zoals de naam, het serienummer, het bedrijf, de afdeling of het IP-adres. De bevat ook een kopie van de openbare sleutel van de entiteit. De CA die het certificaat tekent is een derde partij die de ontvanger expliciet vertrouwt om identiteiten te valideren en om digitale certificaten te maken.

Om de handtekening van de CA te valideren, moet de ontvanger eerst de openbare sleutel van de CA kennen. Doorgaans wordt dit proces afgehandeld buiten de band of via een bewerking die tijdens de installatie is uitgevoerd. De meeste webbrowsers zijn bijvoorbeeld standaard geconfigureerd met de openbare sleutels van meerdere CAs.

Het PKI-vertrouwensmodel is hiërarchisch met meerdere configureerbare vertrouwde CAs. U kunt elk deelnemend apparaat configureren met een lijst met vertrouwde CAs's zodat een peercertificaat die is verkregen tijdens de uitwisseling van beveiligingsprotocols, kan worden geverifieerd als het is uitgegeven door een van de lokaal vertrouwde CAs('s). De Cisco NX-OS-software slaat lokaal de zelf-ondertekende hoofdcertificaat van de vertrouwde CA (of certificaatketen voor een ondergeschikte CA) op. Het proces om het systeem van een vertrouwde certificeringsinstantie veilig hoofdcertificaat te verkrijgen (of de volledige keten in het geval van een ondergeschikte CA) en deze lokaal op te slaan, wordt CA-verificatiegenoemd.

De informatie over een vertrouwde CA die u hebt geconfigureerd, wordt het vertrouwenspunt genoemd en de CA zelf heet een trust point CA. Deze informatie bestaat uit een CA-certificaat (of certificaatketen in het geval van een ondergeschikte CA) en controlegegevens voor certificaatintrekken.

Het Cisco NX-OS-apparaat kan zich ook met een vertrouwenspunt aanmelden om een identiteitscertificaat te verkrijgen om aan een sleutelpaar te koppelen. Dit vertrouwenspunt wordt een identiteits-CAgenoemd.

U kunt een identiteitscertificaat verkrijgen door een of meer RSA-sleutelparen te genereren en door elke RSA-sleutelpaar te koppelen aan een trust point CA van waar het Cisco NX-OS-apparaat in wil schrijven. Voor het Cisco NX-OS-apparaat is slechts één identiteit per CA nodig. Het bevat één sleutelpaar en één identiteitscertificaat per CA.

Met de Cisco NX-OS-software kunt u RSA-sleutelparen genereren met een configureerbare sleutelgrootte (of modulus). De standaardsleutelgrootte is 512. U kunt ook een RSA-label voor sleutelparen configureren. Het standaardsleutellabel is het volledig gekwalificeerde domeinnaam (FQDN).

In de volgende lijst is de relatie tussen vertrouwenspunten, RSA-sleutelparen en identiteitscertificaten samengevat:

• Een vertrouwenspunt is gelijk aan een specifieke CA die het Cisco NX-OS-apparaat vertrouwt voor verificatie peercertificaat elke toepassing (zoals SSH).

• Een Cisco NX-OS-apparaat kan veel vertrouwenspunten hebben en alle toepassingen op het apparaat kunnen een peercertificaat een van de trust point-CA's vertrouwen.

• Een vertrouwenspunt is niet beperkt tot een specifieke toepassing.

• Een Cisco NX-OS-apparaat inschrijft bij de CA die correspondeert met het vertrouwenspunt om een identiteitscertificaat te verkrijgen. U kunt uw apparaat inschrijven met meerdere vertrouwenspunten wat betekent dat u een afzonderlijk identiteitscertificaat kunt verkrijgen vanaf elk vertrouwenspunt. De identiteitscertificaten worden gebruikt door toepassingen, afhankelijk van de doeleinden die door de uitgevende CA in het certificaat zijn gespecificeerd. Het doel van een certificaat wordt in het certificaat opgeslagen als certificaatextensie.

• Wanneer u zich inschrijft met een vertrouwenspunt, moet u een RSA-sleutelpaar opgeven dat moet worden gecertificeerd. Dit sleutelpaar moet worden gegenereerd en gekoppeld aan het vertrouwenspunt voordat het inschrijvingsverzoek wordt gegenereerd. De koppeling tussen het vertrouwenspunt, het sleutelpaar en het identiteitscertificaat is geldig totdat het expliciet wordt verwijderd door het certificaat, het sleutelpaar of het vertrouwde punt te verwijderen.

• De onderwerpnaam in het identiteitscertificaat is de naam volledig gekwalificeerde domeinnaam het Cisco NX-OS-apparaat.

• U kunt een of meer RSA-sleutelparen genereren op een apparaat en elk apparaat kan worden gekoppeld aan een of meer vertrouwenspunten. Er kunnen echter niet meer dan 1 paar sleutels worden gekoppeld aan een vertrouwenspunt, wat betekent dat slechts één identiteitscertificaat is toegestaan vanuit een CA.

• Als het Cisco NX-OS-apparaat meerdere identiteitscertificaten verkrijgt (elk van een afzonderlijke CA), is het certificaat dat een toepassing selecteert voor gebruik in een beveiligingsprotocol-uitwisseling met een peer specifiek voor toepassing.

• U hoeft geen of meer vertrouwenspunten aan te wijzen voor een toepassing. Elke toepassing kan elk certificaat gebruiken dat wordt uitgegeven door een vertrouwenspunt, zolang het certificaat maar voldoet aan de vereisten van de toepassing.

• U hebt niet meer dan één identiteitscertificaat uit een vertrouwenspunt of meer dan één sleutelpaar nodig om aan een vertrouwenspunt te worden gekoppeld. Een CA-certificaat verklaart een bepaalde identiteit (of naam) maar één keer en geeft niet meerdere certificaten met dezelfde naam uit. Als u meer dan één identiteitscertificaat voor een certificerings- of certificeringsmedewerker nodig hebt en de CA meerdere certificaten met dezelfde namen toestaat, moet u een ander vertrouwenspunt voor dezelfde CA definiëren, een andere sleutelpaar koppelen aan deze certificeringsinstelling koppelen.

Het Cisco NX-OS-apparaat kan meerdere CA's vertrouwen door meerdere vertrouwenspunten te configureren en elk te koppelen aan een afzonderlijke CA. Bij meerdere vertrouwde CERTIFICERINGen hoeft u geen apparaat in te schrijven bij de specifieke CA die het certificaat aan een peer uit uitgegeven heeft. In plaats daarvan kunt u het apparaat configureren met meerdere vertrouwde CAs die de peer vertrouwt. Het Cisco NX-OS-apparaat kan vervolgens een geconfigureerde vertrouwde CERTIFICERINGsinstantie gebruiken om certificaten te verifiëren die zijn ontvangen van een peer die niet zijn uitgegeven door dezelfde CA die is gedefinieerd in de identiteit van het peerapparaat.

Inschrijving is het proces van het verkrijgen van een identiteitscertificaat voor het apparaat dat wordt gebruikt voor toepassingen zoals SSH. Deze fout treedt op tussen het apparaat dat een verzoek doet bij het certificaat en de certificaatautoriteit.

Het Cisco NX-OS-apparaat voert de volgende stappen uit bij het uitvoeren van het PKI-inschrijvingsproces:

• Genereert een RSA-combinatie van privé- en openbare sleutels op het apparaat.

• Genereert een certificaataanvraag in standaardindeling en wordt doorgestuurd naar de CA.

De CA-beheerder moet het inschrijvingsverzoek bij de CA-server mogelijk handmatig goedkeuren wanneer de aanvraag door de CA is ontvangen.

• Ontvangt het uitgegeven certificaat terug van de CA, ondertekend met de privésleutel van de CA.

• Schrijven van het certificaat in een niet-uit opslagruimte op het apparaat (bootflash).

De Cisco NX-OS-software ondersteunt het ophalen en inschrijven van certificaten via handmatig knippen en plakken. Bij het inschrijven voor knippen en plakken betekent dit dat u de certificaataanvragen en resulterende certificaten tussen het apparaat en de CA moet knippen en plakken.

U moet de volgende stappen uitvoeren bij gebruik van knippen en plakken in het handmatige inschrijvingsproces:

• Maak een verzoek voor inschrijvingscertificaat. Het Cisco NX-OS-apparaat wordt weergegeven in een basis64-gecodeerde tekstformulier.

• Knip en plak de tekst van de gecodeerde certificaataanvraag in een e-mail of in een webformulier en verzend deze naar de CA.

• Ontvang het uitgegeven certificaat (in base64-gecodeerde tekstformulier) van de CA in een e-mail of in een webbrowser downloaden.

• Knip het uitgegeven certificaat en plak het in het apparaat met de certificaatimportinstallatie.

Met een certificeringsinstantie voor meerdere identiteiten kan het apparaat zich aanmelden bij meer dan één vertrouwenspunt, wat resulteert in meerdere identiteitscertificaten, elk vanuit een afzonderlijke CA. Met deze functie kan het Cisco NX-OS-apparaat deelnemen aan SSH en andere toepassingen met veel peers via certificaten die zijn uitgegeven door certificeringscertificaten die acceptabel zijn voor die peers.

Dankzij de functie voor meerdere RSA-sleutelparen kan het apparaat afzonderlijke sleutels koppelen voor elke CA waarmee het is ingeschreven. Het beleid kan overeenkomen met de beleidsvereisten voor elke CA zonder dat deze conflicteren met de vereisten die zijn opgegeven door de andere ca, zoals de sleutellengte. Het apparaat kan meerdere RSA-sleutelparen genereren en elk sleutelpaar koppelen aan een afzonderlijk vertrouwenspunt. Daarna wordt, wanneer u zich inschrijft met een vertrouwenspunt, het gekoppelde sleutelpaar gebruikt om het certificaatverzoek te bouwen.

De PKI-ondersteuning op een Cisco NX-OS-apparaat kan peercertificaten verifiëren. De Cisco NX-OS-software verifieert certificaten die zijn ontvangen van peers tijdens beveiligingsuitwisselingen voor toepassingen, zoals SSH. De toepassingen verifiëren de geldigheid van de peercertificaten. De Cisco NX-OS-software voert de volgende stappen uit bij het verifiëren van peercertificaten:

• Controleert of de peercertificaat is uitgegeven door een van de lokaal vertrouwde CAs.

• Verifieert of de peercertificaat geldig is (niet verlopen) met betrekking tot de huidige tijd.

• Controleert of de peercertificaat nog niet ingetrokken is door de uitgevende CA.

Voor de intrekkingscontrole ondersteunt de Cisco NX-OS-software de certificaat intrekkenlijst (CRL). Een CA van een vertrouwenspunt kan deze methode gebruiken om te controleren of peercertificaat is ingetrokken.

De Cisco NX-OS-software kan de intrekkingsstatus van CA-certificaten controleren. De toepassingen kunnen de controlemechanismen voor intrekken gebruiken in de volgorde die u opgeeft. De keuzen zijn CRL, geen of een combinatie van deze methoden.

Als onderdeel van het CA-verificatie- en inschrijvingsproces kunnen het ondergeschikte CA-certificaat (of de certificaatketen) en identiteitscertificaten worden geïmporteerd in standaard PEM-indeling (basis64).

De volledige identiteitsinformatie in een vertrouwenspunt kan worden geëxporteerd naar een bestand in de standaardindeling PKCS#12 die met een wachtwoord is beveiligd. Het kan later naar hetzelfde apparaat worden geïmporteerd (bijvoorbeeld na een crash van het systeem) of een vervangend apparaat. De informatie in een PKCS#12-bestand bestaat uit het RSA-sleutelpaar, het identiteitscertificaat en het CA-certificaat (of de keten).

U kunt ervoor zorgen dat de trustpoint-configuratie op alle Cisco NX-OS-apparaten opnieuw wordt opgestart.

De configuratie van het trust point is een normale Cisco NX-OS-apparaatconfiguratie die zich binnen het systeem blijft voordoen, wordt alleen opnieuw opgestart als u dit expliciet kopieert naar de opstartconfiguratie. De certificaten, sleutelparen en CRL die zijn gekoppeld aan een vertrouwenspunt, zijn automatisch permanent als u de configuratie van het vertrouwde punt al hebt gekopieerd in de opstartconfiguratie. Als de configuratie van het vertrouwenspunt niet naar de opstartconfiguratie wordt gekopieerd, zijn de certificaten, sleutelparen en CRL die daaraan zijn gekoppeld niet permanent, omdat ze de overeenkomstige configuratie van het vertrouwenspunt vereisen na het opnieuw opstarten. Kopieer altijd de lopende configuratie naar de opstartconfiguratie om ervoor te zorgen dat de geconfigureerde certificaten, sleutelparen en CRLs persistent zijn. Sla ook de lopende configuratie op nadat u een certificaat of sleutelpaar hebt verwijderd om ervoor te zorgen dat de verwijdering permanent is.

De certificaten en CRL gekoppeld aan een vertrouwenspunt worden automatisch permanent bij het importeren (zonder expliciet te kopiëren naar de opstartconfiguratie) als het specifieke vertrouwenspunt al is opgeslagen in de opstartconfiguratie.

We raden u aan een back-up te maken die met een wachtwoord is beveiligd van de identiteitscertificaten en deze op een externe server op te slaan.

Bij het kopiëren van de configuratie naar een externe server zijn de certificaten en sleutelparen niet vermeld.