Ένα πιστοποιητικό ανά συσκευή δεν κάνει το κλειδί δεσμευμένο με τη συσκευή

Εκδίδετε ξεχωριστό πιστοποιητικό για κάθε φορητό υπολογιστή, οπότε υποθέτετε ότι το VPN μπορεί να τους ξεχωρίσει. Δεν μπορεί. Ένα πιστοποιητικό πελάτη αποδεικνύει ότι όποιος συνδέεται έχει το αντίστοιχο ιδιωτικό κλειδί, και ένα αντιγραμμένο προφίλ το έχει επίσης.

Το πιστοποιητικό ανά συσκευή παραμένει καλή ιδέα. Απλώς κάνει διαφορετική δουλειά από αυτή που περιμένουν οι περισσότεροι.

Τι αποδεικνύει στην πραγματικότητα ένα πιστοποιητικό πελάτη

Κατά τη χειραψία ο πελάτης υπογράφει με το ιδιωτικό κλειδί που ταιριάζει με το πιστοποιητικό του, και ο διακομιστής επαληθεύει αυτή την υπογραφή έναντι της CA που εμπιστεύεται. Τίποτα σε αυτή την ανταλλαγή δεν περιγράφει το μηχάνημα. Οποιαδήποτε συσκευή κρατά και το πιστοποιητικό και το κλειδί παράγει πανομοιότυπη υπογραφή, οπότε ένα προφίλ αντιγραμμένο σε δεύτερο φορητό υπολογιστή μοιάζει ακριβώς με το πρωτότυπο. Το πιστοποιητικό ονομάζει μια ταυτότητα· δεν ονομάζει υλικό.

Η μοναδικότητα ανά συσκευή εξακολουθεί να αξίζει, γιατί κάνει την ανάκληση ακριβή. Είναι διαχειριστική ιδιότητα, όχι τεχνική κλειδαριά.

Τρία επίπεδα αποθήκευσης κλειδιού

Το πρώτο επίπεδο είναι ένα αρχείο κλειδιού στον δίσκο. Είναι φορητό εξ ορισμού, και εκεί ζουν τα περισσότερα προφίλ OpenVPN.

Το δεύτερο επίπεδο είναι ένα κλειδί που το λειτουργικό σύστημα χαρακτηρίζει ως μη εξαγώγιμο. Τα Windows μπορούν να δημιουργήσουν κλειδί συσκευής στο χώρο πιστοποιητικών τους και να αρνηθούν τη συνηθισμένη εξαγωγή, κάτι που σταματά την περιστασιακή αντιγραφή. Δεν υποστηρίζεται από υλικό, και με αρκετή πρόσβαση στο μηχάνημα τέτοια κλειδιά μπορούν να ανακτηθούν, άρα αυξάνει την προσπάθεια αντί να χτίζει τοίχο.

Το τρίτο επίπεδο είναι ένα κλειδί που δημιουργείται μέσα σε υλικό ασφαλείας: TPM, έξυπνη κάρτα, SIM ή διακριτικό PIV. Αυτές οι μονάδες δεν διαθέτουν το κύκλωμα για να εξάγουν το κλειδί που δημιούργησαν, και η υπογραφή γίνεται μέσα στη μονάδα. Το κλειδί δεν γίνεται ποτέ αρχείο που μπορεί να αντιγράψει κανείς.

Αυτός ο πίνακας είναι όλο το επιχείρημα σε τρεις γραμμές.

Τι μπορεί και τι δεν μπορεί να κάνει το easy-rsa

Η έκδοση πιστοποιητικών ανά συσκευή είναι απλή. Δημιουργήστε ένα ξεχωριστό κοινό όνομα ανά συσκευή έναντι της ίδιας CA, για παράδειγμα ./easyrsa build-client-full laptop-a nopass, και επαναλάβετε για κάθε συσκευή. Καταγράψτε ποιο κοινό όνομα ανήκει σε ποιο πρόσωπο και μηχάνημα.

Η ανάκληση είναι εξίσου άμεση: ./easyrsa revoke laptop-a, αναδημιουργήστε το CRL με το ./easyrsa gen-crl και βεβαιωθείτε ότι ο διακομιστής το διαβάζει πραγματικά μέσω crl-verify.

Αυτό που δεν μπορεί να κάνει η CA είναι να επαληθεύσει πού βρίσκεται μετά το ιδιωτικό κλειδί. Αν δημιουργήσετε το κλειδί στον κεντρικό υπολογιστή της CA και το αντιγράψετε στη συσκευή, δημιουργήσατε δεύτερο αντίγραφο κατά την έκδοση. Ένα μη εξαγώγιμο κλειδί πρέπει να δημιουργηθεί στη συσκευή ή να εισαχθεί σε υλικό που δεν θα το απελευθερώσει.

Έλεγχοι που επιβιώνουν από ένα αντιγραμμένο προφίλ

Υποθέστε ότι το προφίλ μπορεί να αντιγραφεί και σχεδιάστε αναλόγως. Δέστε τον λογαριασμό σε δεύτερο παράγοντα ώστε το πιστοποιητικό μόνο του να μην αρκεί. Δώστε σε κάθε συσκευή τη δική της πολιτική ώστε η εμβέλεια μιας ταυτότητας να μένει περιορισμένη. Και προσέξτε το ίδιο κοινό όνομα συνδεδεμένο από δύο διευθύνσεις ταυτόχρονα, γιατί έτσι φαίνεται ένα κοινόχρηστο προφίλ σε αρχείο καταγραφής συνδέσεων.

Η γρήγορη, τεκμηριωμένη ανάκληση είναι ο έλεγχος που λειτουργεί ακόμη και αφού έχει γίνει αντίγραφο. Όλα τα άλλα είναι πρόληψη.

Ο ισχυρισμός στον οποίο μπορεί πραγματικά να στηριχθεί ο διακομιστής

Η μοναδικότητα προέρχεται από την CA. Η δέσμευση στη συσκευή προέρχεται από την αποθήκευση του κλειδιού. Μόνο το υλικό που δεν μπορεί να εξάγει το κλειδί του μετατρέπει ένα πιστοποιητικό ανά συσκευή σε δήλωση που επιβάλλει ο διακομιστής, αντί για πολιτική στην οποία όλοι συμφωνούν να ακολουθούν.