Προσθήκη πελάτη VPN χωρίς ανακατασκευή της CA

Χρειάζεστε άλλο ένα πιστοποιητικό για άλλο ένα φορητό, αλλά ο πρώτος οδηγός στα αποτελέσματα αναζήτησης αρχίζει με εντολή που σβήνει τον κατάλογο PKI. Η εντολή ανήκει στην πρώτη εγκατάσταση, όχι στην εγγραφή, και κοστίζει την CA, το ιστορικό έκδοσης και κάθε προφίλ πελάτη που εμπιστευόταν τον παλιό εκδότη. Η απόφαση είναι στενότερη: έχει ο εκδότης σας χρησιμοποιήσιμη κατάσταση και ταιριάζει η νέα συσκευή στην πολιτική εγγραφής σας; Τρεις προϋποθέσεις το κρίνουν και μόνο μία δικαιολογεί ανακατασκευή.

Τι πραγματικά καταστρέφει μια ανακατασκευή

Η επανεκκίνηση μιας PKI αντικαθιστά τον κατάλογο με κενή δομή: νέο κλειδί και πιστοποιητικό CA, κενή βάση έκδοσης, νέος μετρητής σειράς. Οι πελάτες δεν ακολουθούν μόνοι τους· τα προφίλ τους καρφώνουν την παλιά CA, άρα κάθε συσκευή πρέπει να ξαναγραφτεί, και οι μη προσβάσιμες με το χέρι.

Η πιο ήσυχη απώλεια είναι η λογιστική. Η ανάκληση εξαρτάται από το να ξέρετε ποιους σειριακούς αριθμούς εκδώσατε και σε ποιον. Σβήστε το ευρετήριο και μπορείτε ακόμη να υπογράφετε, αλλά όχι να πείτε με βεβαιότητα ποια από τα εκκρεμή πιστοποιητικά θέλατε να ανακαλέσετε. Κατάλογος CA με πιστοποιητικά χωρίς την αντίστοιχη κατάσταση εκδότη είναι αντίγραφο που επαναφέρει το λάθος μισό του συστήματος.

Η αντιγραφή του ιδιωτικού κλειδιού της CA δίπλα στον ενεργό διακομιστή είναι η άλλη παράκαμψη που πρέπει να αρνηθείτε: μετατρέπει μια αρχή υπογραφής που πρέπει να μένει εκτός δικτύου σε άλλο αρχείο σε ξενιστή με μη αξιόπιστη κίνηση.

Πρώτη προϋπόθεση: είναι ακόμη προσβάσιμη η κατάσταση του εκδότη;

Βρείτε τον κατάλογο που εμπιστεύεται πραγματικά ο διακομιστής πριν αποφασίσετε. Συγκρίνετε το πιστοποιητικό που παρουσιάζει ως CA με εκείνο του καταλόγου PKI με αποτύπωμα, όχι με όνομα αρχείου:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Αν τα αποτυπώματα ταιριάζουν, η εγγραφή είναι σταδιακή και δεν ανακατασκευάζετε τίποτα. Αν διαφέρουν, υπογράφετε με CA που δεν εμπιστεύεται ο διακομιστής: το πιστοποιητικό εγκαθίσταται καθαρά και αποτυγχάνει στη χειραψία, και το σφάλμα διαγιγνώσκεται για ώρες ως σφάλμα πελάτη.

Μετά αναζητήστε την κατάσταση έκδοσης: αρχείο ευρετηρίου, μετρητή σειράς και αρχείο αριθμού CRL. Αν λείπει το ευρετήριο αλλά σώζεται το κλειδί, μπορείτε να εκδίδετε, αλλά κληρονομείτε πρόβλημα καταγραφής ανακλήσεων. Σημειώστε το στο αρχείο αλλαγών, γιατί η επόμενη ανάκληση θα το αποκαλύψει.

Δεύτερη προϋπόθεση: ποιος κρατά το νέο ιδιωτικό κλειδί;

Είναι η απόφαση που νιώθουν οι χρήστες, άρα πάρτε την ρητά. Κλειδί που παράγεται στον πελάτη και υποβάλλεται ως αίτημα κρατά το ιδιωτικό μισό στη συσκευή από την πρώτη εντολή και ο διαχειριστής δεν το αγγίζει ποτέ. Κλειδί που παράγεται στον διακομιστή είναι ευκολότερο για συσκευές χωρίς εργαλεία, αλλά κάνει τον διαχειριστή θεματοφύλακα κάθε κλειδιού και μεγαλώνει τον αντίκτυπο παραβίασης.

Με Easy-RSA 3 απέναντι σε υπάρχουσα CA, η εισαγωγή και υπογραφή αιτήματος είναι δύο εντολές:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Διαλέξτε τον τύπο πιστοποιητικού συνειδητά. Αίτημα υπογεγραμμένο ως πιστοποιητικό διακομιστή αντί πελάτη δίνει αρχείο που φαίνεται σωστό και απορρίπτεται από τον ομότιμο, και το μήνυμα σπάνια λέει γιατί. Με openssl ca η ίδια επιλογή ζει στις επεκτάσεις που περνάτε, όχι στην προεπιλεγμένη ενότητα.

Τρίτη προϋπόθεση: χρειάζεται ο διακομιστής περισσότερα από πιστοποιητικό;

Για έναν συνηθισμένο διακομιστή OpenVPN με έλεγχο ταυτότητας πιστοποιητικού, το πιστοποιητικό είναι η εγγραφή: το κοινό όνομα γίνεται η ταυτότητα πελάτη και κάθε κατάλογος, διαδρομή ή στατική διεύθυνση εξαρτάται από αυτό. Προσθέστε το πιστοποιητικό και ξεχάστε τη διαμόρφωση και η σήραγγα συνδέεται ενώ οι διαδρομές δεν εμφανίζονται.

Οι πλατφόρμες το αλλάζουν. Το OpenVPN Access Server κρατά δική του βάση χρηστών, άρα υπογεγραμμένο πιστοποιητικό δεν είναι λογαριασμός· ο λογαριασμός πρέπει να υπάρχει και να επιτρέπεται. Άλλες πύλες αντιστοιχίζουν ταυτότητα σε ομάδα. Η εγγραφή μιας συσκευής αγγίζει συνήθως δύο συστήματα και το πιστοποιητικό είναι μόνο το πρώτο.

Η σταδιακή διαδικασία και πότε αρμόζει ανακατασκευή

Η σειρά που προσθέτει μια συσκευή χωρίς ζημιά: επιβεβαιώστε τον εκδότη με αποτύπωμα, πάρτε φρέσκο αντίγραφο του καταλόγου PKI, εισαγάγετε και υπογράψτε το αίτημα για τον ρόλο πελάτη, παραδώστε το πιστοποιητικό με την αλυσίδα του από εγκεκριμένο κανάλι και επαληθεύστε πριν συνδεθεί ο χρήστης:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Η γραμμή σκοπού πρέπει να δείχνει SSL client. Κλείστε ενημερώνοντας το αντίγραφο της CA μετά την έκδοση, γιατί αντίγραφο πριν από τη νέα σειρά επαναφέρει κατάσταση χωρίς τη συσκευή που μόλις προσθέσατε.

Η ανακατασκευή είναι σωστή σε τρεις περιπτώσεις: το κλειδί της CA έχει παραβιαστεί, η κατάσταση έκδοσης χάθηκε ανεπανόρθωτα ή αλλάζετε σκόπιμα αλγόριθμο ή πολιτική. Και οι τρεις είναι έργα με σχέδιο επανεγγραφής κάθε πελάτη, όχι βήματα σε αίτημα μιας συσκευής. Αν δεν ισχύει καμία, εγγράψτε σταδιακά.