Treba li vam Easy-RSA za OpenVPN? Zavisi ko posjeduje CA

Uputstvo kaže da instalirate Easy-RSA prije postavljanja OpenVPN, pa ljudi pretpostavljaju da je to jedan paket. Nije. Easy-RSA je PKI uslužni program koji pokreće OpenSSL; OpenVPN je tunel. Jedan odlučuje kome se vjeruje, drugi prenosi pakete.

Usporedba koja je važna nije u tome koji je alat bolji. Nego u tome ko posjeduje izdavaoca u vašoj organizaciji.

Šta je Easy-RSA zapravo

Projekat se opisuje kao uslužni program za upravljanje PKI X.509, pri čemu OpenSSL obavlja kriptografski rad. To znači da obavija generisanje ključeva, zahtjeve za certifikatima, politiku potpisivanja i opoziv u ponovljivu strukturu direktorija. Ne dodaje sloj šifriranja postojećem tunelu i ne čini RSA jačim od istog ključa koji proizvede drugi kompetentan alat. Ono što radi jeste da tok rada učini provjerljivim.

To je stvarna korist, ali operativna, a ne kriptografska.

Pratite jedan laptop kroz registraciju

Novi laptop generiše vlastiti ključ i šalje zahtjev za certifikat, pa privatni ključ nikada ne napušta uređaj. Izdavalac zatim potpisuje taj zahtjev tipom koji odabire prave ekstenzije za klijentsku ulogu. U Easy-RSA to je ./easyrsa sign-req client laptop-a.

Operater ipak mora odlučiti da ta osoba zaslužuje pristup. Nijedan alat za potpisivanje ne izvodi pravo iz uobičajenog imena.

Potpisani certifikat se vraća na uređaj koji drži odgovarajući ključ, a implementacija VPN-a odvojeno obezbjeđuje povjerenje u server, provjere identiteta, mrežnu politiku i zahtjeve računa. Datoteka u izlaznom direktoriju izdavaoca ne dokazuje ništa od toga. Samo dovršeno rukovanje to čini.

Pratite isti laptop na izlasku

Uklanjanje je mjesto gdje se izbor izdavaoca zaista vidi. Upotrebljiv tok rada identifikuje certifikat, bilježi opoziv i proizvodi ono što sistemima koji se oslanjaju treba da bi ga odbili. Easy-RSA razdvaja ./easyrsa revoke laptop-a od ./easyrsa gen-crl, a drugi korak je onaj koji ljudi zaborave. Generisanje CRL-a kod izdavaoca ne dostavlja ga nijednom VPN provjerivaču.

Distribucija, ponašanje pri ponovnom učitavanju i ono što se događa s već uspostavljenim sesijama odluke su implementacije, a ne funkcije alata.

Ta praznina je praktični argument za ustaljen tok rada naspram hrpe ad-hoc openssl komandi. Teški dio vođenja izdavaoca nije prvi certifikat. Nego održavanje usklađenosti evidencije izdavanja, sigurnosnih kopija, obnova i uklanjanja dok uređaji dolaze i odlaze.

Kada izdavalac već postoji

Ako vaša organizacija već vodi odobrenu uslugu certifikata, registrujte se kroz nju. Postavljanje drugog CA zato što je uputstvo sadržavalo Easy-RSA komande stvara rad na distribuciji povjerenja, rad na sigurnosnim kopijama i drugu stvar koju treba ispravno opozvati.

Lokalni izdavalac je obaveza da vodite CA, a ne polje za označavanje u vodiču za postavljanje.

Kada je Easy-RSA pravi izbor

Za malo privatno postavljanje kojem istinski treba vlastiti izdavalac, Easy-RSA daje fokusiran tok rada bez sastavljanja svake operacije ručno. izvorno Easy-RSA uputstvo pokriva korake zahtjeva, potpisivanja, opoziva i CRL-a redom. Držite materijal za potpisivanje CA kod njegovog određenog vlasnika; klijentima trebaju vlastite vjerodajnice i odgovarajuće javno povjerenje, nikada kopija ključa za potpisivanje.

OpenVPN dizajn zasnovan na PIN-u drugi je legitiman aranžman povjerenja, a ne pokvarena PKI koja čeka popravku. A prijava na račun ne uklanja potrebu da se server autentifikuje po protokolu koji ste odabrali.

Odgovorite na četiri pitanja prije izbora: ko odobrava novi identitet, gdje mu živi privatni ključ, kako certifikat stiže do klijenta i kako penzionisani identitet prestaje biti prihvaćen.