PKI: Diferencia entre CPS y CP

El CP describe cuáles son los requisitos. El CPS describe cómo se cumplen esos requisitos.

Por ejemplo, el CP puede requerir que la CA raíz esté configurada de modo que requiera la presencia de dos personas de departamentos separados para ponerlo en línea. Luego, el CPS debe describir cómo se logra esto: manteniéndolo en una instalación segura que requiera dos claves separadas, o al ingresar dos frases de contraseña separadas, o al requerir dos tarjetas inteligentes separadas. Si necesita cambiar la forma en que se opera la CA, por ejemplo. cuando necesite cambiarse a una nueva instalación con diferentes reglas de acceso, o cuando cambie a un nuevo sistema operativo, es posible que deba volver a escribir el CPS, pero no debería modificar el CP.

Además, aunque ambos documentos pueden estar escritos por la misma organización, es decir, la entidad que ejecuta la CA, recomiendo encarecidamente que estén escritos por partes separadas de la organización. Para un sistema PKI confiable, la separación de funciones es esencial, y no solo en las operaciones, sino también en la supervisión. Las personas que dirigen la CA deben ser supervisadas por otro departamento, cuyo trabajo es establecer los estándares y verificar que las operaciones cumplan con esos estándares. Si las mismas personas hacen ambas cosas, se están supervisando a sí mismas de manera efectiva, en otras palabras, no tienen ninguna supervisión. Como consultor, a veces me piden que escriba ambos documentos, y siempre recomiendo encarecidamente que no lo haga. Prefiero que mi cliente traiga a un competidor para hacer uno de ellos, o al menos, para verificar mi trabajo, en lugar de arriesgarme a que yo sea el que escriba las condiciones y las cumpla.

Permítame comenzar replanteando lo que ya se conoce:

  

CP establece la Política y   CPS describe la práctica (cómo se implementa la política)

Según el RFC, la Política (CP) debe indicar a) qué requisitos se cumplen y b) qué reglas se aplicarán para cumplirlos. Se pretende que sea de alto nivel. Para determinar si un certificado en particular cumplirá con ciertos requisitos comerciales y si puede "interoperar" con otro certificado cuyo CP sea similar / igual.

La Declaración de Práctica (CPS) debe entrar en detalles, ampliando cómo se implementa. No puede desviarse de la PC, pero puede aclarar cualquier ambigüedad potencial, especialmente w.r.t. implementación.

  

¿Puede alguien explicar cuál es el valor real de tener tanto un CPS como un CP, cuándo están escritos por la misma CA y si sería o no una buena práctica escribir solo un CPS en ese caso?

Si estuviera tratando de elegir un certificado (PKI para ser precisos) para las necesidades de mi negocio, el CP sería el documento más adecuado para consultar, ya que se refiere a la aplicabilidad a los fines.

Si fuera una nueva CA que intentara obtener la mayor aceptación posible lo más rápido posible, identificar a propósito común y compatible PKI sería importante, y para esta CP es la más importante documento adecuado para referirse.

También podría inferir esto del CPS, pero eso sería más incómodo y si el CPS no hace una mención explícita de una regla o propósito, lo hará probablemente sea inexacto.

Por lo tanto, mi opinión es: Sí, solo un CPS podría ser suficiente, pero solo si hace una mención explícita del propósito, la aplicabilidad y las reglas, eliminando así las conjeturas trabajo. Si lo hace, tal vez esa sección también podría denominarse Sección CP, y eso significa que estamos de vuelta en el lugar donde estamos.

  

¿No debería haber un CP estándar global, que todas las CA puedan usar para basar su CPS?

Caballos para cursos. Después de que el estándar fue escrito, varios propósitos comunes evolucionaron. Entonces, en retrospectiva, podríamos tener algunos conjuntos de CP estándar globales, sin descartar nuevos tipos de PKI.

Los organismos de normalización siempre están luchando por lo estrictos que deben ser los estándares, para no sofocar la innovación. Estándares más estrictos = más interoperabilidad, pero también más presión para el cumplimiento porque cada innovación potencial también puede verse como una desviación del estándar. No detendrá la innovación por completo, pero seguramente la dificultará. Por esta razón, creo que estaba bien cuando se escribió el estándar. Tal vez la falta de un estándar global en esta área no esté afectando tanto incluso ahora. Pero esa es solo mi opinión.