Ανανέωση πιστοποιητικών OpenVPN: παραδώστε το πιστοποιητικό, όχι το χρονόμετρο

Δύο σχέδια ανανέωσης φαίνονται ίδια σε μια ανασκόπηση σχεδίασης και συμπεριφέρονται εντελώς διαφορετικά τον Ιανουάριο. Το πρώτο τρέχει ένα χρονόμετρο, επανεκδίδει πιστοποιητικά και ρίχνει αρχεία σε έναν κοινόχρηστο φάκελο. Το δεύτερο αντιμετωπίζει την ανανέωση ως πρόβλημα παράδοσης: ποιος ζητά, τι αποδεικνύει την καταλληλότητα, πώς φτάνει το υλικό στη συσκευή και τι κάνει τον πελάτη να το χρησιμοποιήσει. Μόνο το δεύτερο επιβιώνει από φορητό υπολογιστή εκτός σύνδεσης, ένα παροπλισμένο περιουσιακό στοιχείο και μια παράδοση που απέτυχε σιωπηλά.

Συγκρίνετε τα δύο σχέδια εκεί όπου πραγματικά διαφέρουν

Το σχέδιο με χρονόμετρο βελτιστοποιεί την πλευρά του διακομιστή. Μια προγραμματισμένη εργασία καλεί την CA, εμφανίζεται ένα νέο πιστοποιητικό και ο χειριστής θεωρεί την εργασία τελειωμένη. Ό,τι συμβαίνει μετά την έκδοση είναι πρόβλημα κάποιου άλλου, μέχρι μια συσκευή να μην μπορεί να συνδεθεί και η ημερομηνία λήξης να εξηγήσει το γιατί.

Το σχέδιο ροής εργασίας βελτιστοποιεί το τελευταίο μίλι. Υποθέτει ότι η έκδοση είναι ένα βήμα σε μια αλυσίδα και ότι κάθε επόμενο βήμα μπορεί να αποτύχει ανεξάρτητα. Αυτό κοστίζει περισσότερο στην κατασκευή και πολύ λιγότερο στη λειτουργία, επειδή οι αστοχίες εμφανίζονται ως καταγεγραμμένες καταστάσεις αντί ως πελάτες με ληγμένο πιστοποιητικό.

Ένας χρήσιμος τρόπος να κρατήσετε τη διαφορά στο προσκήνιο είναι η ακολουθία που κάθε σχέδιο πρέπει να ονομάσει ρητά.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Εντοπίστε το παράθυρο από το ίδιο το πιστοποιητικό

Διαβάστε την ισχύ από το πιστοποιητικό που παρουσιάζει πραγματικά ο πελάτης, όχι από την ημερομηνία που είναι ενσωματωμένη σε ένα αντιγραμμένο όνομα αρχείου. Τα ονόματα αρχείων μετατοπίζονται, και ένα αρχείο που λέει 2026 μπορεί να περιέχει διαπιστευτήριο που λήγει τον Μάρτιο.

Αφήστε περιθώριο στο παράθυρο για τις αργές περιπτώσεις: συσκευές που μένουν εκτός σύνδεσης για εβδομάδες, εγκρίσεις που χρειάζονται άνθρωπο και διαδρομές παράδοσης που αποτυγχάνουν μία φορά πριν λειτουργήσουν. Ένα χρονόμετρο που αναφέρει επιτυχία αποδεικνύει μόνο ότι το χρονόμετρο έτρεξε, τίποτα περισσότερο.

Εξουσιοδοτήστε το αίτημα πριν εκδοθεί οτιδήποτε

Ένα υπάρχον πιστοποιητικό μπορεί να είναι μέρος ενός νόμιμου μηχανισμού ανανέωσης, αλλά το κείμενο του υποκειμένου του δεν είναι απόφαση εξουσιοδότησης. Το ερώτημα που πρέπει να απαντηθεί είναι αν αυτός ο λογαριασμός και αυτή η συσκευή δικαιούνται ακόμη ταυτότητα στον στόλο, και αυτή η απάντηση ζει στα αρχεία περιουσιακών στοιχείων σας και όχι στο πιστοποιητικό.

Ένας παροπλισμένος φορητός υπολογιστής του οποίου η προγραμματισμένη εργασία τρέχει ακόμη δεν πρέπει να λαμβάνει νέο δικαίωμα. RFC 7030 αξίζει να διαβαστεί εδώ, επειδή διαχωρίζει την πιστοποιημένη επανεγγραφή από την εξουσιοδότηση και την πολιτική στην πλευρά του διακομιστή· είναι ένα μοντέλο για δανεισμό, όχι ισχυρισμός ότι το OpenVPN ή το EasyRSA παρέχουν αυτό το πρωτόκολλο.

Παράδοση, προετοιμασία και ενεργοποίηση ως ξεχωριστά βήματα

Η έκδοση διατηρεί την ταυτότητα, τον σκοπό και τη σχέση έκδοσης, και ένας αντικαταστάτης που παράγεται με νέο ζεύγος κλειδιών είναι άχρηστος αν το αντίστοιχο κλειδί δεν ταξιδεύει μαζί του. Παραδώστε το ζεύγος μέσω καναλιού με σχέδιο ελέγχου πρόσβασης πίσω του, γιατί ένα URL που δεν μαντεύεται είναι συγκάλυψη και όχι έλεγχος.

Η προετοιμασία είναι το σημείο όπου οι περισσότερες αυτοματοποιήσεις σπάνε σιωπηλά. Ένα εισαγόμενο προφίλ μπορεί να βρίσκεται σε μια θέση ενώ ένας διαχειριστής ενημερώνει ένα αρχείο αλλού, και ο πελάτης συνεχίζει να παρουσιάζει το παλιό πιστοποιητικό μέχρι κάποιος να το προσέξει. Γράψτε τη διαδρομή που διαβάζει ο πελάτης, τον λογαριασμό που επιτρέπεται να γράψει σε αυτήν και το συμβάν που προκαλεί επαναφόρτωση. Έπειτα επιβεβαιώστε ότι ο αντικαταστάτης είναι το αρχείο που χρησιμοποιείται πραγματικά και όχι ένα αντίγραφο που έφτασε δίπλα του.

Η επαλήθευση σημαίνει μια νέα πιστοποίηση με το νέο υλικό και έναν έλεγχο της εφαρμογής που χρειάζεται ο χρήστης. Ένα τούνελ που έχει ήδη εγκατασταθεί μπορεί να αντανακλά ακόμη το προηγούμενο διαπιστευτήριο, οπότε μια ανοιχτή σύνδεση δεν είναι απόδειξη επιτυχημένης ανανέωσης.

Σχεδιάστε πρώτα την ανάκτηση του χαμένου παραθύρου

Όταν ένας φορητός φτάνει στην υπηρεσία εγγραφής μόνο μέσω του VPN, η λήξη δημιουργεί βρόχο: η συσκευή χρειάζεται πιστοποιητικό για να μπει στο τούνελ και το τούνελ για να φέρει το πιστοποιητικό. Αποφασίστε τη ρύθμιση εκτός ζώνης πριν φύγει η πρώτη προγραμματισμένη εργασία, είτε πρόκειται για ξεχωριστό πιστοποιημένο σημείο εγγραφής είτε για επανεγγραφή με βοήθεια διαχειριστή.

Ό,τι κι αν επιλέξετε, πρέπει να επαληθεύει τον αιτούντα και το τρέχον δικαίωμα. Το να ρυθμίσετε τον διακομιστή να δέχεται ληγμένα πιστοποιητικά από οποιονδήποτε ρωτήσει δεν είναι διαδρομή ανάκτησης, είναι μόνιμη αποδυνάμωση του ελέγχου που υπερασπιστήκατε με το υπόλοιπο σχέδιο.

Τέλος, κρατήστε την ανανέωση και τη συμβιβασμένη κατάσταση σε ξεχωριστές διαδικασίες. Ένα κλειδί που διέρρευσε χρειάζεται ανάκληση και απόκριση στις ενεργές συνεδρίες, και η παράταση της ημερομηνίας λήξης δεν περιέχει τίποτα από αυτά. Συμπεριλάβετε μια συσκευή εκτός σύνδεσης, μια αποτυχημένη παράδοση και ένα παροπλισμένο περιουσιακό στοιχείο στη δοκιμή αποδοχής, και το χρονοδιάγραμμα είναι έτοιμο να ενεργοποιηθεί.