Certifikatutfärdare (CA) hanterar certifikatförfrågningar och utfärdar certifikat för deltagande enheter som värdar, nätverksenheter eller användare. CA:erna tillhandahåller centraliserad nyckelhantering för de deltagande enheterna.

Digitala signaturer, baserade på kryptering med offentliga nycklar, digitalt autentisera enheter och enskilda användare. Vid kryptering av offentliga nycklar, som RSA-krypteringssystemet, har varje enhet eller användare ett nyckelpar som innehåller både en privat nyckel och en offentlig nyckel. Den privata nyckeln hålls hemlig och är endast känd för den egna enheten eller användaren. Men alla känner till den offentliga nyckeln. Allt krypterat med en av nycklarna kan dekrypteras med den andra. En signatur skapas när data krypteras med avsändarens privata nyckel. Mottagaren verifierar signaturen genom att avkryptera meddelandet med avsändarens offentliga nyckel. Den här processen förlitar sig på att mottagaren har en kopia av avsändarens offentliga nyckel och att den med hög säkerhet vet att den verkligen tillhör avsändaren och inte på någon som vill vara avsändare.

Digitala certifikat länkar den digitala signaturen till avsändaren. Ett digitalt certifikat innehåller information för att identifiera en användare eller enhet, såsom namn, serienummer, företag, avdelning eller IP-adress. Den innehåller också en kopia av enhetens offentliga nyckel. DEN CA som signerar certifikatet är en tredje part som mottagaren uttalat litar på att verifiera identiteter och skapa digitala certifikat.

För att validera CA-signaturen måste mottagaren först känna till CA:s offentliga nyckel. Vanligtvis hanteras den här processen utanför bandet eller via en åtgärd som gjorts vid installationen. De flesta webbläsare är exempelvis konfigurerade med de offentliga nycklarna för flera CA som standard.

PKI-betrodda modell är hierarkisk med flera konfigurerbara betrodda certifikat certifikat användas. Du kan konfigurera alla deltagande enheter med en lista över betrodda certifikatautentiska certifikat så att en motpartens certifikat som erhålls under utväxlingar av säkerhetsprotokoll kan autentiseras om den har utfärdats av en av de lokalt betrodda certifikatautentiska certifikaten. Cisco NX-OS-programvaran lagrar lokalt den själv signerade rotcertifikat av den betrodda CA:n (eller certifikatkedjan för en underordnad CA). Processen att på ett säkert sätt erhålla en betrodd CA:s rotcertifikat (eller hela kedjan för en underordnad CA) och lagringen lokalt kallas CA-verifiering.

Informationen om en betrodd CA som du har konfigurerat kallas för betrodd punkt och själva CA kallas för en betrodd punktCA. Den här informationen består av ett CA-certifikat (eller en certifikatkedja om en underordnad CA) och kontroll av certifikatåterkallningsinformation.

Cisco NX-OS-enheten kan också registreras med en betrodd punkt för att erhålla ett identitetscertifikat för att associera med ett nyckelpar. Den här betrodda punkten kallas för en identitets-CA.

Du kan erhålla ett identitetscertifikat genom att skapa ett eller flera RSA-nyckelpar och koppla varje RSA-nyckelpar till ett trust point CA där Cisco NX-OS-enheten har för avsikt att registrera sig. Cisco NX-OS-enheten behöver bara en identitet per CA, vilket består av ett nyckelpar och ett identitetscertifikat per CA.

Med Cisco NX-OS kan du generera RSA-nyckelpar med en konfigurerbar nyckelstorlek (eller modulus). Standardnyckelstorleken är 512. Du kan även konfigurera en RSA-nyckelparetikett. Standardnyckeletiketten är enheten som fullständigt domännamn (FQDN) (FQDN).

Följande lista sammanfattar relationen mellan betrodda punkter, RSA-nyckelpar och identitetscertifikat:

• En betrodd punkt motsvarar en specifik CA som Cisco NX-OS-enheten litar på för motpartens certifikat för något program (t.ex. SSH).

• En Cisco NX-OS-enhet kan ha många betrodda poäng, och alla program på enheten kan lita på att ett motpartens certifikat har utfärdats av någon av de betrodda point-CA:erna.

• En betrodd punkt är inte begränsad till ett specifikt program.

• En Cisco NX-OS-enhet registrerar sig med CA som motsvarar den betrodda punkten för att erhålla ett identitetscertifikat. Du kan registrera din enhet med flera betrodda poäng, vilket innebär att du kan få ett separat identitetscertifikat från varje betrodd punkt. Identitetscertifikaten används av programmen beroende på de ändamål som anges i certifikatet av den utfärdaren CA. Syftet med ett certifikat lagras i certifikatet som en certifikattillägg.

• När du registrerar dig med en betrodd punkt måste du ange ett RSA-nyckelpar som ska certifieras. Detta nyckelpar måste skapas och associeras med den betrodda punkten innan inskrivningsbegäran skapas. Anslutningen mellan den betrodda punkten, nyckelparet och identitetscertifikatet är giltigt tills det uttryckligen har tagits bort genom att certifikatet, nyckelparet eller den betrodda punkten tas bort.

• Ämnesnamnet i identitetscertifikatet är fullständigt domännamn (FQDN) Cisco NX-OS-enheten.

• Du kan skapa ett eller flera RSA-nyckelpar på en enhet och var och en kan associeras med en eller flera betrodda punkter. Men inte mer än ett nyckelpar kan associeras med en betrodd punkt, vilket innebär att endast ett identitetscertifikat tillåts från en CA.

• Om Cisco NX-OS-enheten erhåller flera identitetscertifikat (var och en från en specifik CA) är certifikatet som ett program väljer att använda i ett säkerhetsprotokoll exchange med en peer-specifik.

• Du behöver inte ange en eller flera betrodda poäng för ett program. Alla program kan använda certifikat som utfärdats av någon betrodd punkt så länge certifikatet uppfyller programkraven.

• Du behöver inte fler än ett identitetscertifikat från en betrodd punkt eller mer än ett nyckelpar för att associeras med en betrodd punkt. En CA verifierar endast en given identitet (eller namn) en gång och utfärdar inte flera certifikat med samma namn. Om du behöver fler än ett identitetscertifikat för en CA och CA tillåter flera certifikat med samma namn, måste du definiera en annan betrodd punkt för samma CA, associera ett annat nyckelpar till den och få den certifierad.

Cisco NX-OS-enheten kan lita på flera CA genom att konfigurera flera betrodda punkter och koppla varje till en specifik CA. Med flera betrodda certifikatutfärdare behöver du inte registrera en enhet med den specifika CA som utfärdade certifikatet till en peer-enhet. Istället kan du konfigurera enheten med flera betrodda certifikat om certifikat som är betrodda av peer-användare. Cisco NX-OS-enheten kan sedan använda en konfigurerad betrodd CA för att verifiera certifikat från en peer-enhet som inte har utfärdats av samma CA som definierats i identiteten på peer-enheten.

Registrering är processen med att erhålla ett identitetscertifikat för enheten som används för program som SSH. Det sker mellan enheten som begär certifikatet och certifikatutfärdaren.

Cisco NX-OS-enheten utför följande steg när du utför PKI-inskrivningsprocessen:

• Genererar ett RSA-par av privat och offentlig nyckel på enheten.

• Skapar en certifikatförfrågan i standardformat och vidarebefordrar den till CA.

CA-administratören kan behöva godkänna registreringsförfrågan på CA-servern manuellt när begäran tas emot av CA:en.

• Får tillbaka det utfärdade certifikatet från CA:en, signerat med CA:s privata nyckel.

• Visar certifikatet som en icke-volatil lagringsplats på enheten (bootflash).

Cisco NX-OS-programvaran stöder certifikathämtning och registrering med manuell klippning och inklistring. Att klippa ut och klistra in registrering innebär att du måste klippa ut och klistra in certifikatförfrågningarna och de certifikat som uppstår mellan enheten och CA:en.

Du måste utföra följande steg när du klipper ut och klistrar in den manuella inskrivningsprocessen:

• Skapa en begäran om registreringscertifikat som Cisco NX-OS-enheten visas i bas64-kodat textformulär.

• Klipp ut och klistra in texten för den kodade certifikatförfrågan i ett e-postmeddelande eller i ett webbformulär och skicka den till CA:en.

• Ta emot det utskickade certifikatet (i bas64-kodat textformulär) från CA i ett e-postmeddelande eller i hämtning av en webbläsare.

• Klipp ut och klistra in det utfärdade certifikatet på enheten med hjälp av certifikatimporten.

Flera identitetscertifikatutfärdare gör det möjligt för enheten att registrera sig med fler än en betrodd punkt, vilket resulterar i flera identitetscertifikat från en specifik CA. Med den här funktionen kan Cisco NX-OS-enheten delta i SSH och andra program med många peer-certifikat utfärdat av certifikat som är godtagbara för dessa peer-enheter.

Funktionen för flera RSA-nyckelpar gör det möjligt för enheten att upprätthålla ett tydligt nyckelpar för varje CA som den är inskriven i. Den kan matcha principkraven för varje CA utan att uppfylla kraven som angetts av de andra ca:erna, till exempel nyckellängden. Enheten kan skapa flera RSA-nyckelpar och associera varje nyckelpar med en specifik betrodd punkt. Därefter används det associerade nyckelparet för att skapa certifikatförfrågan när man registrerar sig med en betrodd punkt.

PKI-stöd på en Cisco NX-OS-enhet kan verifiera peer-certifikat. Cisco NX-OS-programvaran verifierar certifikat från peer-certifikat under säkerhetsutbyten för program, till exempel SSH. Programmen verifierar giltigheten för peer-certifikaten. Cisco NX-OS-programvaran utför följande steg vid verifiering av peer-certifikat:

• Verifierar att motpartens certifikat har utfärdats av en av de lokalt betrodda certifikat erna.

• Verifierar att motpartens certifikat är giltigt (har inte gått ut) med avseende på aktuell tid.

• Verifierar att motpartens certifikat ännu inte har återkallats av den utsända CA:en.

För kontroll av återkallning stödjer Cisco NX-OS-programvaran listan över återkallade certifikat (CRL). En betrodd point-CA kan använda den här metoden för att verifiera att motpartens certifikat inte har återkallats.

Cisco NX-OS-programvaran kan kontrollera ca-certifikats återkallningsstatus. Programmen kan använda mekanismerna för återkallningskontroll i den ordning du anger. Alternativen är CRL, ingen eller en kombination av dessa metoder.

Som en del av CA-autentiserings- och registreringsprocessen kan det underordnade CA-certifikatet (eller certifikatkedjan) och identitetscertifikaten importeras i standard-PEM-format (base64).

Den fullständiga identitetsinformationen i en betrodd punkt kan exporteras till en fil i det lösenordsskyddade standardformatet PKCS#12. Den kan senare importeras till samma enhet (till exempel efter en systemkrasch) eller till en ersättningsenhet. Informationen i en PKCS#12-fil består av RSA-nyckelparet, identitetscertifikatet och CA-certifikatet (eller kedjan).

Du kan säkerställa att TrustPoint-konfigurationen kvarstår i alla Cisco NX-OS-enheter startas om.

Konfigurationen av betrodda poäng är en normal konfiguration av Cisco NX-OS-enheter som finns kvar under hela systemets omstarter endast om du kopierar den explicit till startkonfigurationen. De certifikat, nyckelpar och CRL som är kopplade till en betrodd punkt är automatiskt beständiga om du redan har kopierat dess konfiguration av betrodda poäng i startkonfigurationen. Ett fel är att om konfigurationen av betrodd punkt inte kopieras till startkonfigurationen är de certifikat, nyckelpar och CRL som är associerade med den inte beständiga eftersom de kräver motsvarande konfiguration av betrodda poäng efter en omstart. Kopiera alltid den konfigurering som körs till startkonfigurationen för att säkerställa att konfigurerade certifikat, nyckelpar och CRL:er är permanenta. Du kan också spara den konfigurering som körs efter att ett certifikat eller nyckelpar har tagits bort för att säkerställa att borttagningarna är permanenta.

De certifikat och CRL som är associerade med en betrodd punkt blir automatiskt permanenta när de importeras (d.v.s. utan att uttryckligen kopiera till startkonfigurationen) om den specifika betrodda punkten redan har sparats i startkonfigurationen.

Vi rekommenderar att du skapar en lösenordsskyddad säkerhetskopia av identitetscertifikaten och sparar dem på en extern server.

När du kopierar konfigurationen till en extern server ingår certifikaten och nyckelparen.