Hoidke OpenVPN CA allkirjastamisvõti väljaspool /etc/openvpn

Kaks kataloogi, mis õpetuses sarnaselt välja näevad, teevad täiesti erinevat tööd. Üks hoiab sertifitseerimisasutust: selle privaatvõtit, seerianumbri loendurit ja arvestust kõige üle, mida see on allkirjastanud. Teine hoiab seda, mida deemon vajab käivitamiseks ja klientide teenindamiseks. Mõlema paigutamine samasse hosti sama konto alla on mugav üheks pärastlõunaks ja kulukas ülejäänud juurutuse eluea jooksul, sest deemon töötab siis kõrvuti ainsa võtmega, mis suudab luua ükskõik millise soovitud identiteedi.

Mida CA tööruum sisaldab

PKI kataloog on väljastaja olek, mitte konfiguratsioon. See sisaldab CA privaatvõtit ja sertifikaati, seerianumbri faili, väljastatud sertifikaatide indeksit ja iga identiteedi jaoks materjali, mis on nendest toodetud.

Taotluse allkirjastamine muudab seda olekut, mistõttu kuulub tööruum administraatori hallatavale kontole hostis, kus VPN-teenus ei tööta. Igaüks, kes suudab lugeda CA privaatvõtit, saab väljastada sertifikaadi, mida server usaldab, seega on võtme kaitse kogu usaldusmudel ühes failis. Selle kopeerimine teise kohta sammu säästmiseks loob teise asja, mida kaitsta, ja teise asja, mille unustada. Iga allkiri suurendab ka seerianumbrit ja lisab indeksisse kirje, mistõttu on tööruum üks oleku koopia, mitte failide kaust.

CA avalik sertifikaat on teistsugune. See on mõeldud levitamiseks ja seda kasutavad kliendid ja serverid üksteise kontrollimiseks.

Mida deemon käivitamisel loeb

Töötav server tarbib väikest kogumit: oma sertifikaati, oma privaatvõtit, CA sertifikaati partnerite kontrollimiseks ja võtmematerjali, mida selle valitud režiim nõuab. Ta loeb neid radu käivitamisel ja uuesti uuesti laadimisel.

Omandit tuleb hinnata selle üksuse vastu, mis tegelikult käivitub, mitte interaktiivse root-kesta vastu. Deklareeritud liivakast võib muuta osa failisüsteemist kirjutuskaitstuks või nähtamatuks isegi siis, kui käsitsi rootina tehtud katse õnnestub.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

See kolmas rida on see, mille inimesed vahele jätavad. See küsib deemoni enda kontolt, kas see suudab võtit lugeda, ja see on ainus küsimuse versioon, mis loeb pärast õiguste mahavõtmist. Nulliga väljumine rootina ei ütle midagi selle kohta, mis juhtub pärast mahavõtmist.

Kahte tõrketeed tasub enne mis tahes õiguse muutmist eraldada. Allkirjastamise tõrge osutab PKI kataloogile, selle ülemkataloogide otsinguõigusele ja kontole, mis väljastajat käitab. Käivitamise tõrge osutab üksusele, selle töökataloogile ja serveri konfiguratsioonis nimetatud radadele. Kogu puu kõigile loetavaks muutmine ei paranda kumbagi ja eemaldab piiri, millest mõlemad sõltuvad.

Miks CA võtme kopeerimine serverisse hiljem ebaõnnestub

Koopia algab tavaliselt silumisvõttena: keegi tahab VPN-hostis klienti uuendada, nii et CA võti satub /etc/openvpn ja uuendamine õnnestub. Vahetu ülesanne õnnestub ja piir on kadunud.

Seejärel varundatakse server ja allkirjastamisorgan liitub varukoopiatega. Tõmmis, tugipakett või konfiguratsioonikataloogi koopia kannab nüüd võimet väljastada usaldusväärseid identiteete seni, kuni CA kehtib. Igaüks, kellel see koopia on, saab luua sertifikaadi iga nime jaoks, mida server aktsepteerib, sealhulgas nimede jaoks, mida kunagi ei väljastatud. Ainus arvestus selle väljastamise kohta on see, mille nad otsustavad alles hoida.

Sellest olekust taastumine ei ole faili kustutamise küsimus. Peate otsustama, kas võti paljastus, vajadusel CA pöörama ja usalduse igale partnerile ümber jaotama. Eraldi tööruum väldib kogu vestluse.

Kontod, kataloogid, varukoopiad

Andke väljastajale oma konto ja kodukataloog, kus see on otstarbekas, VPN-hostist eemal. Andke deemonile teine konto, millel on juurutatud materjali lugemisõigus ja kirjutamisõigus mitte millelegi, mis sertifikaate väljastab. Juurutage avalikke sertifikaate väljapoole kopeerides ja mitte kunagi väljastaja privaatset olekut sissepoole tõmmates. Varundage kahte rolli eraldi, sest nende tundlikkus ja taastelood erinevad.

Pärast tühistamist värskendage CRL-faili, mille serveri konfiguratsioon nimetab, ja seejärel laadige teenus uuesti, et uued ühendused seda loeksid. Easy-RSA dokumentatsioon käsitleb tööruumi paigutust ja allkirjastamise töövoogu; omandiõiguse reeglid selle ümber jäävad otsuseks teie hosti kohta. Kinnitage, mida teenus laadis, käsuga openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate selle asemel, et eeldada, et uuesti laadimine selle üles võttis.

Test, mis tõestab eraldatust

Kontrollige negatiivset juhtumit, mitte ainult toimivat. Allkirjastage sertifikaat väljastaja kontolt nii, nagu kavandatud, ja kinnitage seejärel, et sama konto ei saa teenust käivitada ega serveri privaatvõtit lugeda. Seejärel kinnitage, et deemoni konto ei saa CA privaatvõtit lugeda.

Need kolm kontrolli võtavad paar minutit ja elavad üle personalimuudatused, sest need on väited õiguste, mitte harjumuse kohta. Kirjutage tulemus üles koos radade ja kontodega, mida see hõlmas, ning kuupäevaga, millal te need tegite. Järgmine inimene, kes selle juurutuse pärib, tuletab piiri muidu uuesti õpetusest, millel seda kunagi polnud. Dateeritud arvestus on ka see, mis teeb järgmise ülevaatuse minutite, mitte pärastlõuna pikkuseks.