Automatiserad certifikathantering i isolerade nätverk : Design och implementation av TLS-lösningar för miljöer utan internetanslutning

Sammanfattning

Denna studie designade och implementerade en centraliserad proxy-arkitektur för automatisering av livscykelhantering av publika X.509-certifikat i isolerade nätverksmiljöer. Arbetet motiverades av skärpta säkerhetskrav från CA/Browser Forum, vilka successivt förkortar giltighetstiden för digitala certifikat mot 47 dagar fram till år 2029, vilket gör manuella förnyelsemetoder ohållbara. Genom tillämpning av en designvetenskaplig forskningsmetodik (DSRM) utvecklades en teknisk artefakt baserad på verktyget acme.sh placerat i ett isolerat nätverkssegment. Utmaningen med nätverksisoleringen löstes genom en asynkron certifikatförnyelse via valideringsmetoden DNS-01, som kördes mot en lokal bind9-DNS-server driftsatt i ett DMZ-nätverk. Under demonstrations- och utvärderingsfaserna testades och utvärderades två distinkta arkitektoniska distributionsmodeller i en kontrollerad labbmiljö för Habo kommun. Den funktionella utvärderingen visade att båda modellerna uppfyllde kravet på en fullständig automatisering utan mänsklig handpåläggning (statuskod exit 0). Mätningen av prestanda visade en genomsnittlig exekveringstid på cirka 11,4 sekunder för en push-modell (via SSH/SCP) och cirka 11,9 sekunder för en pull-modell (via rsync). Den marginella skillnaden i prestanda visade att valet av modell främst bör baseras på organisationers individuella säkerhetskrav och arkitekturpreferens snarare än tidseffektivitet. Studien bidrar till nätverkssäkerhetsfältet genom att det praktiskt verifieras hur en centraliserad säkerhetsorganisering och strikt nätverksisolering kan förenas.