Necessiteu Easy-RSA per a OpenVPN? Depèn de qui posseeix la CA

Un tutorial diu que instal·leu Easy-RSA abans de configurar OpenVPN, així que la gent assumeix que els dos formen un paquet. No és així. Easy-RSA és una utilitat de gestió de PKI que fa funcionar OpenSSL; OpenVPN és el túnel. Una decideix en qui s’ha de confiar, l’altra mou paquets.

La comparació que importa no és quina eina és millor. És quina de les dues posseeix l’emissor a la vostra organització.

Què és realment Easy-RSA

El projecte es descriu com una utilitat de gestió de PKI X.509 amb OpenSSL fent la feina criptogràfica. Això vol dir que embolcalla la generació de claus, les sol·licituds de certificat, la política de signatura i la revocació en una estructura de directoris repetible. No afegeix una capa de xifratge a un túnel establert, ni fa RSA més fort que la mateixa clau produïda per una altra eina competent. El que fa és fer auditable el flux de treball.

Això és un benefici real, però és un benefici operatiu i no criptogràfic.

Seguiu un portàtil durant l’alta

Un portàtil nou genera la seva pròpia clau i envia una sol·licitud de certificat, de manera que la clau privada no surt mai del dispositiu. L’emissor signa llavors aquesta sol·licitud amb un tipus que selecciona les extensions correctes per a un rol de client. A Easy-RSA això és ./easyrsa sign-req client laptop-a.

L’operador encara ha de decidir que aquesta persona mereix accés. Cap eina de signatura dedueix l’autorització d’un nom comú.

El certificat signat torna a el dispositiu que té la clau corresponent, i el desplegament de la VPN proporciona per separat confiança del servidor, comprovacions d’identitat, política de xarxa i requisits de compte. Un fitxer al directori de sortida de l’emissor no en demostra res. Només ho fa un intercanvi de salutació complet.

Seguiu el mateix portàtil a la sortida

L’eliminació és on realment es veu l’elecció d’emissor. Un flux de treball útil identifica el certificat, registra la revocació i produeix el que els sistemes dependents necessiten per rebutjar-lo. Easy-RSA separa ./easyrsa revoke laptop-a de ./easyrsa gen-crl, i el segon pas és el que la gent oblida. Generar una CRL a l’emissor no la lliura a cap verificador de VPN.

La distribució, el comportament en recarregar i què passa amb les sessions ja establertes són decisions de desplegament, no característiques de l’eina.

Aquesta bretxa és l’argument pràctic a favor d’un flux de treball establert enfront d’un munt de comandes openssl ad hoc. La part difícil de portar un emissor no és el primer certificat. És mantenir coherents els registres d’emissió, les còpies de seguretat, les renovacions i les eliminacions mentre els dispositius van i vénen.

Quan ja existeix un emissor

Si la vostra organització ja gestiona un servei de certificats aprovat, feu l’alta a través d’ell. Muntar una segona CA perquè un tutorial incloïa comandes d’Easy-RSA crea feina de distribució de confiança, feina de còpies de seguretat i una segona cosa a revocar correctament.

Un emissor local és un compromís de gestionar una CA, no una casella en una guia de configuració.

Quan Easy-RSA és la decisió correcta

Per a un desplegament privat petit que realment necessita el seu propi emissor, Easy-RSA ofereix un flux de treball concentrat sense muntar cada operació a mà. La guia d’Easy-RSA oficial cobreix els passos de sol·licitud, signatura, revocació i CRL en ordre. Manteniu el material de signatura de la CA amb el seu propietari designat; els clients necessiten les seves pròpies credencials i la confiança pública pertinent, mai una còpia de la clau de signatura.

Un disseny d’OpenVPN basat en PIN és un altre arranjament de confiança legítim, no una PKI trencada esperant reparació. I l’inici de sessió no elimina la necessitat d’autenticar el servidor segons el protocol que hàgiu triat.

Responeu quatre preguntes abans de triar: qui aprova una identitat nova, on viu la seva clau privada, com arriba el certificat al client i com una identitat retirada deixa de ser acceptada.