EST (Enrollment over Secure Transport) är en IETF-standard, definierad i RFC 7030, som automatiserar certifikatregistrering över TLS med ömsesidig autentisering, utformad som en säkrare efterföljare till SCEP för att utfärda certifikat till enheter och klienter.
EST automatiserar certifikatregistrering med HTTPS med ömsesidig TLS-autentisering, till skillnad från SCEP:s modell för delade hemligheter. EST, som definieras i RFC 7030 , stöder starkare klientautentisering, certifikatförnyelse utan fullständig omregistrering och moderna kryptografiska algoritmer, vilket gör det bättre lämpat för säkerhetsmedvetna företag och IoT-distributioner.
Key Takeaways
- EST definieras i IETF RFC 7030 och utformades specifikt för att täcka autentiserings- och transportsäkerhetsluckorna i SCEP.
- EST-registrering sker via HTTPS med TLS-klientcertifikatautentisering (eller annan stark autentiseringsuppgift) snarare än ett delat engångslösenord.
- EST stöder en dedikerad förnyelseoperation (simplereenroll) som skiljer sig från den initiala registreringen, till skillnad från SCEP, som vanligtvis upprepar hela registreringsflödet.
- EST är algoritmagnostisk till sin utformning, vilket gör det till en mer naturlig lösning än SCEP för organisationer som planerar en övergång till post-kvantumcertifikatalgoritmer.
- Trots sin starkare säkerhetsmodell släpar EST-implementeringen avsevärt efter SCEP, eftersom SCEP har årtionden av leverantörs- och plattformsstöd som EST ännu inte har matchat.
Hur skiljer sig EST-registrering från SCEP?
| Aspect | SCEP | EST |
|---|---|---|
| Autentisering | Delad hemlighet (engångslösenord för utmaning) | TLS-klientcertifikat eller annan stark autentiseringsuppgift |
| Johtin | HTTP, valfritt över TLS | HTTPS med obligatorisk TLS |
| Förnyelse | Vanligtvis körs fullständig registrering igen | Dedikerad simplereenroll-operation |
| Standard | Informativt IETF-utkast, brett implementerat | RFC 7030, en fullständig IETF-standard |
| Leverantörs-/plattformssupport | Bred och etablerad (MDM, NDES, nätverksenheter) | Växande, men mindre än SCEP:s närvaro |
Vilka är de viktigaste EST-operationerna?
- cacerts: hämtar CA:s nuvarande certifikatkedja så att en klient kan etablera förtroende innan registrering.
- enkel registrering: skickar en begäran om certifikatsignering för initial registrering, autentiserad via ömsesidig TLS.
- enklare roll: begär certifikatförnyelse med hjälp av klientens befintliga (snart utgående)-certifikat som autentiseringsuppgifter.
- serverkeygen: låter valfritt servern generera nyckelpar för klientens räkning, användbart för begränsade enheter som inte själva kan generera nycklar effektivt.
Varför har inte EST ersatt SCEP trots att det är säkrare?
SCEP har årtionden av väletablerat stöd: nästan alla MDM-plattformar, nätverksenhetsleverantörer och CA-programvarupaket implementerar det, och att byta en befintlig flotta till ett annat registreringsprotokoll är ett verkligt migreringsprojekt, inte en konfigurationsväxling. EST:s starkare säkerhetsmodell har gjort den till det föredragna valet för nya, säkerhetskritiska implementeringar, särskilt i IoT- och industriella miljöer, men SCEP:s installerade bas innebär att det sannolikt kommer att förbli det vanligaste protokollet i åratal.
Hur krypteringskonsulting hjälper
Hur krypteringskonsulttjänster hjälper PKI-as-a-Service och CertSecure Manager stöder både EST- och SCEP-registrering, vilket låter dig köra en säkerhetshärdad EST-distribution för nya system samtidigt som äldre SCEP-baserade systemflottor fungerar utan avbrott. Stöds av ISO/IEC 27001:2022- och SOC 2-certifierade metoder.
Vanliga frågor om partihandel med mat och dryck
Är EST säkrare än SCEP?
Ja, i sin autentiseringsmodell. EST kräver TLS-baserad ömsesidig autentisering för registrering, medan SCEP förlitar sig på ett delat engångslösenord, vilket är en svagare autentiseringstyp och ett vanligare mål för avlyssning eller återanvändning om det inte hanteras noggrant.
Stöder EST förnyelse av certifikat?
Ja, via en dedikerad simpleenroll-åtgärd som använder klientens aktuella, fortfarande giltiga certifikat som autentiseringsuppgifter, skilt från den initiala simpleenroll-åtgärden som används för förstagångsregistreringen.
Vilka branscher använder EST mest?
EST är vanligast i IoT- och industriella enhetsdistributioner där stark autentisering per enhet är viktig och enhetsflottan designas på nytt, eftersom dessa projekt kan använda EST från början snarare än att migrera en befintlig SCEP-distribution.
Kan en organisation köra både SCEP och EST samtidigt?
Ja. Många organisationer kör SCEP för äldre enheter och MDM-plattformar som bara stöder SCEP, medan de använder EST för nya implementeringar där starkare autentisering är ett krav, snarare än att migrera allt till ett protokoll på en gång.
Stöd för både EST och SCEP från en plattform
Ta nästa steg PKI-as-a-Service och CertSecure Manager stöder EST- och SCEP-registrering sida vid sida, så att du kan modernisera nya implementeringar utan att störa äldre systemflottor. Utforska PKI-as-a-Service för att komma igång.