Cadwch allwedd lofnodi CA OpenVPN allan o /etc/openvpn

Mae dau gyfeiriadur sy’n edrych yn debyg mewn tiwtorial yn gwneud swyddi hollol wahanol. Mae un yn dal yr awdurdod ardystio: ei allwedd breifat, ei gyfrif rhif cyfresol a’r cofnod o bopeth y mae wedi’i lofnodi. Mae’r llall yn dal yr hyn sydd ei angen ar y daemon i ddechrau a gwasanaethu cleientiaid. Mae rhoi’r ddau ar yr un gwesteiwr o dan yr un cyfrif yn gyfleus am brynhawn ac yn gostus am weddill oes y defnydd, oherwydd wedyn mae’r daemon yn rhedeg wrth ochr yr un allwedd a all greu unrhyw hunaniaeth a ddymunir.

Beth sydd yng ngweithle’r CA

Mater i’r cyhoeddwr, nid ffurfweddiad, yw cyfeiriadur PKI. Mae’n cynnwys allwedd breifat a thystysgrif y CA, ffeil rif cyfresol, mynegai o dystysgrifau a gyhoeddwyd, a’r deunydd fesul hunaniaeth a gynhyrchwyd ohonynt.

Mae llofnodi cais yn newid y mater hwnnw, a dyna pam mae’r gweithle yn perthyn i gyfrif a reolir gan weinyddwr ar westeiwr nad yw’r gwasanaeth VPN yn rhedeg arno. Gall unrhyw un sy’n gallu darllen allwedd breifat y CA gyhoeddi tystysgrif y bydd y gweinydd yn ymddiried ynddi, felly diogelwch yr allwedd yw’r model ymddiriedaeth cyfan mewn un ffeil. Mae ei chopïo i ail le i arbed cam yn creu ail beth i’w amddiffyn ac ail beth i’w anghofio. Mae pob llofnod hefyd yn cynyddu’r rhif cyfresol ac yn ychwanegu cofnod at y mynegai, a dyna pam mai un copi o’r mater yw’r gweithle yn hytrach na phlygell o ffeiliau.

Mae tystysgrif gyhoeddus y CA yn wahanol. Fe’i bwriedir i’w dosbarthu, a hi yw’r hyn y mae cleientiaid a gweinyddwyr yn ei defnyddio i ddilysu ei gilydd.

Beth mae’r daemon yn ei ddarllen pan fydd yn dechrau

Mae gweinydd sy’n rhedeg yn defnyddio set fach: ei dystysgrif ei hun, ei allwedd breifat ei hun, tystysgrif y CA ar gyfer dilysu cymheiriaid, a pha bynnag ddeunydd allweddi y mae ei fodd dewisol yn ei olygu. Mae’n darllen y llwybrau hynny wrth gychwyn ac eto wrth ail-lwytho.

Rhaid gwerthuso perchnogaeth yn erbyn yr uned sy’n cychwyn mewn gwirionedd, nid yn erbyn cragen root ryngweithiol. Gall tywodfocsio datganedig wneud rhan o’r system ffeiliau yn ddarllen yn unig neu’n anweladwy hyd yn oed pan fydd prawf â llaw fel root yn llwyddo.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

Y drydedd linell honno yw’r un y mae pobl yn ei hepgor. Mae’n gofyn i gyfrif y daemon ei hun a all ddarllen yr allwedd, a dyna’r unig fersiwn o’r cwestiwn sy’n bwysig ar ôl i fraint gael ei gollwng. Nid yw gadael â sero fel root yn dweud dim am yr hyn sy’n digwydd ar ôl y gollwng.

Mae’n werth gwahanu’r ddwy lwybr diffyg cyn i chi newid unrhyw ganiatâd. Mae methiant llofnodi yn cyfeirio at gyfeiriadur PKI, y caniatâd chwilio ar ei gyfeiriaduron rhiant a’r cyfrif sy’n rhedeg y cyhoeddwr. Mae methiant cychwyn yn cyfeirio at yr uned, ei chyfeiriadur gwaith a’r llwybrau a enwir yn ffurfweddiad y gweinydd. Nid yw gwneud y goeden gyfan yn ddarllenadwy i bawb yn trwsio’r naill na’r llall, ac mae’n tynnu’r ffin y mae’r ddau yn dibynnu arni.

Pam mae copïo allwedd y CA i’r gweinydd yn methu’n ddiweddarach

Mae’r copi fel arfer yn dechrau fel cam dadfygio: mae rhywun am adnewyddu cleient ar y gwesteiwr VPN, felly mae allwedd y CA yn glanio yn /etc/openvpn ac mae’r adnewyddiad yn gweithio. Mae’r dasg ar unwaith yn llwyddo, ac mae’r ffin wedi mynd.

Yna mae’r gweinydd yn cael ei gopïo wrth gefn, ac mae’r awdurdod llofnodi yn ymuno â’r copïau wrth gefn. Mae ciplun, bwndel cymorth neu gopi o’r cyfeiriadur ffurfweddu nawr yn cario’r gallu i gyhoeddi hunaniaethau ymddiriededig cyhyd ag y bo’r CA yn ddilys. Gall pwy bynnag sy’n dal y copi hwnnw greu tystysgrif ar gyfer unrhyw enw y mae’r gweinydd yn ei dderbyn, gan gynnwys enwau na chawsant eu cyhoeddi erioed. Yr unig gofnod o’r cyhoeddiad hwnnw yw’r un y maent yn dewis ei gadw.

Nid mater o ddileu ffeil yw gwella o’r mater hwnnw. Rhaid i chi benderfynu a gafodd yr allwedd ei datgelu, cylchdroi’r CA os cafodd, ac ailddosbarthu ymddiriedaeth i bob cymheiriad. Mae gweithle ar wahân yn osgoi’r sgwrs gyfan.

Cyfrifon, cyfeiriaduron, copïau wrth gefn

Rhowch gyfrif a chartref ei hun i’r cyhoeddwr, oddi ar y gwesteiwr VPN lle bo hynny’n ymarferol. Rhowch gyfrif gwahanol i’r daemon, gyda mynediad darllen i’r deunydd a gyflwynwyd a mynediad ysgrifennu i ddim sy’n cyhoeddi tystysgrifau. Cyflwynwch drwy gopïo tystysgrifau cyhoeddus allan ac yn byth drwy dynnu mater preifat y cyhoeddwr i mewn. Copïwch y ddwy rôl ar wahân, oherwydd mae eu sensitifrwydd a’u straeon adfer yn wahanol.

Ar ôl dirymu, diweddarwch y ffeil CRL y mae ffurfweddiad y gweinydd yn ei henwi, yna ail-lwythwch y gwasanaeth fel bod cysylltiadau newydd yn ei darllen. Mae dogfennaeth Easy-RSA yn trafod cynllun y gweithle a’r llif llofnodi; mae’r rheolau perchnogaeth o’i amgylch yn parhau i fod yn benderfyniad am eich gwesteiwr. Cadarnhewch beth a lwythodd y gwasanaeth gyda openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate yn hytrach na chymryd yn ganiataol bod yr ail-lwytho wedi’i godi.

Prawf sy’n profi’r gwahanu

Gwiriwch yr achos negyddol, nid yn unig yr un sy’n gweithio. Llofnodwch dystysgrif o gyfrif y cyhoeddwr fel y’i cynlluniwyd, yna cadarnhewch na all yr un cyfrif gychwyn y gwasanaeth na darllen allwedd breifat y gweinydd. Yna cadarnhewch na all cyfrif y daemon ddarllen allwedd breifat y CA.

Mae’r tri gwiriad hynny’n cymryd ychydig funudau ac yn goroesi newidiadau staff, oherwydd datganiadau am ganiatâd ydyn nhw yn hytrach nag am arfer. Ysgrifennwch y canlyniad gyda’r llwybrau a’r cyfrifon a gwmpaswyd, ynghyd â’r dyddiad y gwnaethoch eu rhedeg. Fel arall bydd y person nesaf sy’n etifeddu’r defnydd hwn yn ail-ddod i’r ffin o diwtorial na chafodd un erioed. Cofnod â dyddiad hefyd yw’r hyn sy’n gwneud i’r adolygiad nesaf gymryd munudau yn hytrach na phrynhawn.