VPN bezeroa CA berreraiki gabe gehitzea

Beste ordenagailu eramangarri baterako beste ziurtagiri bat behar duzu, baina bilaketa-emaitzetako lehen tutoriala PKI direktorioa ezabatzen duen agindu batekin hasten da. Agindu hori lehen konfigurazioari dagokio, ez izen-emateari, eta CA, emate-historia eta emaile zaharrari fede ematen zioten bezero-profil guztiak galtzen dituzu. Erabakia estuagoa da: badu emaileak oraindik erabil daitekeen egoerarik, eta egokitzen da gailu berria zure izen-emate politikan? Hiru baldintzak erabakitzen dute, eta batek bakarrik justifikatzen du berreraikitzea.

Zer suntsitzen duen berreraikitzeak benetan

PKI bat berrabiarazteak direktorioa egitura huts batekin ordezkatzen du: CA gako eta ziurtagiri berria, emate-datu-base hutsa eta serie-kontagailu berria. Bezeroak ez dira isil-isilik joaten; beren profilek CA zaharra finkatzen dute, beraz gailu bakoitzak berriro eman behar du izena, eta iristezinak eskuz.

Galera isilenak kontabilitatea da. Ezeztatzeak jakitea eskatzen du zein serie-zenbaki eman zenizkion nori. Ezabatu indizea eta oraindik sinatu dezakezu, baina ezin duzu ziurtasunez esan zein ziurtagiri utzi nahi zenituen ezeztatu. Emailearen egoera egokirik gabeko CA direktorioa sistemaren erdi okerra berreskuratzen duen babeskopia da.

CAren gako pribatua martxan dagoen zerbitzariaren ondoan kopiatzea uko egin beharreko beste bide laburra da: sarez kanpo egon behar duen sinadura-agintaritza trafiko fidagaitza duen ostalari bateko beste fitxategi bihurtzen du.

Lehen baldintza: iristeko moduan dago emailearen egoera?

Erabaki aurretik aurkitu zerbitzariak benetan fede ematen dion direktorioa. Konparatu zerbitzariak CA gisa aurkezten duen ziurtagiria PKI direktoriokoarekin hatz-markaren bidez, ez fitxategi-izenaren bidez:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Hatz-markak bat badatoz, izen-ematea gehigarria da eta ez duzu ezer berreraiki behar. Desberdinak badira, zerbitzariak fede ematen ez dion CA batekin sinatuko duzu: ziurtagiria garbi instalatzen da eta esku-ematean huts egiten du, eta errore hori ordutan zehar bezeroaren akats gisa diagnostikatzen da.

Ondoren bilatu emate-egoera: indize-fitxategia, serie-kontagailua eta CRL zenbakiaren fitxategia. Indizearik ez badago baina gakoa bizirik badago, eman dezakezu, baina ezeztatzeak erregistratzeko arazoa heredatzen duzu. Idatzi hori aldaketen erregistroan, hurrengo ezeztatze-eskaerak agerian utziko baitu.

Bigarren baldintza: nork dauka gako pribatu berria?

Erabiltzaileek sentitzen duten erabakia da, beraz hartu berariaz. Bezeroan sortutako eta eskaera gisa bidalitako gakoak erdi pribatua gailuan uzten du lehen agindutik eta administratzaileak ez du inoiz ukitzen. Zerbitzarian sortutako gakoa errazagoa da tresnarik gabeko gailuentzat, baina administratzailea gako guztien zaintzaile bihurtzen du eta zerbitzariaren konprometitzearen eragina handitzen.

Easy-RSA 3-rekin lehendik dagoen CA baten aurka, eskaera inportatzea eta sinatzea bi agindu dira:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Aukeratu ziurtagiri mota nahita. Bezero gisa beharrean zerbitzari ziurtagiri gisa sinatutako eskaerak ondo dirudien fitxategia ematen du eta bikoteak ukatzen du, eta errore-mezuak gutxitan esaten du zergatik. openssl ca-rekin sinatzen baduzu, aukera bera pasatzen dituzun luzapenetan dago, ez atal lehenetsian.

Hirugarren baldintza: ziurtagiri bat baino gehiago behar du zerbitzariak?

Ziurtagiri bidezko autentifikazioa duen OpenVPN zerbitzari arruntarentzat ziurtagiria da izen-ematea: izen arrunta bezeroaren identitate bihurtzen da, eta edozein direktorio, bultzatutako bide edo helbide estatiko izen horri lotuta dago. Gehitu ziurtagiria eta ahaztu konfigurazioa: tunela konektatzen da baina behar diren bideak ez dira agertzen.

Plataformek hori aldatzen dute. OpenVPN Access Serverrek bere erabiltzaile-datu-basea du, beraz sinatutako ziurtagiria ez da kontua; kontuak egon eta baimenduta egon behar du. Beste atebide batzuek identitate-katea talde bati esleitzen diote. Gailu bat erregistratzeak normalean bi sistema ukitzen ditu, eta ziurtagiria lehenengoa baino ez da.

Prozedura gehigarria eta noiz den zuzena berreraikitzea

Gailu bat kalterik gabe gehitzen duen sekuentzia: berretsi emailea hatz-markaz, hartu PKI direktorioaren babeskopia berria, inportatu eta sinatu eskaera bezero-rolarentzat, eman ziurtagiria katearekin batera onartutako kanaletik, eta egiaztatu erabiltzailea konektatu aurretik:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Helburu-lerroak SSL client erakutsi behar du. Amaitu CAren babeskopia ematearen ondoren eguneratuz, serie-zenbaki berria erregistratu aurretik hartutako kopiak gehitu berri duzun gailurik gabeko egoera berreskuratzen baitu.

Berreraikitzea zuzena da hiru kasutan: CAren gakoa konprometituta badago, emate-egoera konponezin gabe galdu bada edo nahita aldatzen badituzu gako-algoritmoa edo ziurtagiri-politika. Hirurak proiektu dira, bezero bakoitzarentzat berriro erregistratzeko plana dutenak, ez gailu bakarreko eskaera baten urratsak. Bat ere ez bada aplikatzen, erregistratu gehigarriki.