Inga permanenta åtkomstvägar
Den rekommenderade installationen är en pull-agent som körs som tjänst på servern, både på Windows och Linux. Tjänsten hämtar sina uppgifter från sslbrain via en utgående HTTPS-anslutning. Appliancen har därför ingen SSH-nyckel, inget lösenord och ingen sudo-behörighet för servern, och inga inkommande portar öppnas. Det finns helt enkelt ingen permanent åtkomstväg för en angripare att ta över.
Säkerhetsgränsen är signaturen, inte nätverket
Agenten kör bara uppgiftspaket som är signerade och verifierade mot ett fastlåst förtroendeankare. En uppgift utan giltig signatur från en nyckel ni har valt att lita på avvisas, oavsett var den kommer ifrån. Säkerhetsgränsen flyttas därmed från nätverket till signaturen: det avgörande är inte vem som kan nå servern, utan vilken kod ni har godkänt.
Garantin har en exakt gräns, och vi redovisar den öppet. En komprometterad appliance kan fortfarande få era agenter att köra skript som FairSSL har signerat, med indata som angriparen väljer, till exempel för att installera ett certifikat från angriparen. Det sker aldrig med mer behörighet än ni har gett agenten. Det appliancen inte kan göra är att föra in ny eller osignerad kod.
Ni väljer behörighetsnivån
Hur stor behörighet tjänsten körs med bestäms lokalt på servern. Kör den som root eller LocalSystem om enkelheten väger tyngst. Eller kör den med ett begränsat tjänstekonto som bara får skriva till en tjänsts certifikatfiler och köra ett enda kommando för omladdning. sslbrain fungerar i båda modellerna och kräver aldrig mer än uppgiften behöver.
Push som reserv, fortfarande med minsta behörighet
Enheter som inte kan köra en tjänst, till exempel nätverksutrustning och appliancer, hanteras med push över SSH eller API. Även där kan kontot begränsas: en egen användare med åtkomst till certifikatens sökvägar och, där det behövs, en snävt avgränsad sudo-regel för just de kommandon installationen kräver. Principerna för signering och godkännande beskrivs under policyhantering.