Tarvitsetko Easy-RSAn OpenVPN:ää varten? Se riippuu siitä, kuka omistaa CA:n

Eräs ohje käskee asentaa Easy-RSAn ennen kuin OpenVPN otetaan käyttöön, joten ihmiset olettavat näiden kahden kuuluvan yhteen. Ne eivät kuulu. Easy-RSA on PKI:n hallintatyökalu, joka ohjaa OpenSSL:ää; OpenVPN on tunneli. Toinen päättää, keneen luotetaan, toinen siirtää paketteja.

Ratkaiseva vertailu ei ole se, kumpi työkalu on parempi. Vaan se, kuka omistaa myöntäjän organisaatiossasi.

Mikä Easy-RSA oikeastaan on

Hanke kuvaa itseään X.509 PKI:n hallintatyökaluksi, jossa OpenSSL tekee salaustyön. Se tarkoittaa, että se käärii avainten luonnin, sertifikaattipyynnöt, allekirjoituskäytännön ja mitätöinnin toistettavaan hakemistorakenteeseen. Se ei lisää salauskerrosta olemassa olevaan tunneliin eikä tee RSA:sta vahvempaa kuin saman avaimen, jonka toinen asiantunteva työkalu tuottaa. Se tekee työnkulusta auditoitavan.

Se on todellinen hyöty, mutta operatiivinen eikä salauksellinen.

Seuraa yhtä kannettavaa tietokonetta rekisteröinnin läpi

Uusi kannettava luo oman avaimensa ja lähettää sertifikaattipyynnön, joten yksityinen avain ei koskaan poistu laitteesta. Myöntäjä allekirjoittaa pyynnön tyypillä, joka valitsee oikeat laajennukset asiakasrooliin. Easy-RSAssa se on ./easyrsa sign-req client laptop-a.

Operaattorin on silti päätettävä, että tämä henkilö ansaitsee pääsyn. Mikään allekirjoitustyökalu ei johda oikeutta yleisnimestä.

Allekirjoitettu sertifikaatti palaa laitteeseen, jolla on vastaava avain, ja VPN:n käyttöönotto toimittaa erikseen palvelimen luottamuksen, identiteettitarkistukset, verkkokäytännön ja tilivaatimukset. Tiedosto myöntäjän tulostehakemistossa ei todista mitään tästä. Vain valmis kättely tekee sen.

Seuraa sama kannettava ulos

Poistaminen on se kohta, jossa myöntäjän valinta todella näkyy. Käyttökelpoinen työnkulku tunnistaa sertifikaatin, kirjaa mitätöinnin ja tuottaa sen, mitä siihen luottavat järjestelmät tarvitsevat sen hylkäämiseen. Easy-RSA erottaa ./easyrsa revoke laptop-a ja ./easyrsa gen-crl, ja toinen vaihe on se, jonka ihmiset unohtavat. CRL:n luominen myöntäjällä ei toimita sitä yhdellekään VPN-tarkistajalle.

Jakelu, uudelleenlatauskäyttäytyminen ja se, mitä jo muodostetuille istunnoille tapahtuu, ovat käyttöönoton päätöksiä, eivät työkalun ominaisuuksia.

Tämä aukko on käytännön argumentti vakiintuneen työnkulun puolesta ad hoc openssl -komentojen kasaa vastaan. Myöntäjän pyörittämisen vaikea osa ei ole ensimmäinen sertifikaatti. Vaan myöntötietojen, varmuuskopioiden, uudistusten ja poistojen pitäminen yhtenäisinä, kun laitteita tulee ja menee.

Kun myöntäjä on jo olemassa

Jos organisaatiosi jo pyörittää hyväksyttyä sertifikaattipalvelua, rekisteröidy sen kautta. Toisen CA:n pystyttäminen siksi, että ohje sisälsi Easy-RSA-komentoja, luo luottamuksen jakelutyötä, varmuuskopiointityötä ja toisen asian, joka on mitätöitävä oikein.

Paikallinen myöntäjä on sitoutuminen CA:n pyörittämiseen, ei asennusoppaan valintaruutu.

Milloin Easy-RSA on oikea valinta

Pienelle yksityiselle käyttöönotolle, joka todella tarvitsee oman myöntäjänsä, Easy-RSA antaa keskitetyn työnkulun ilman jokaisen toimenpiteen kokoamista käsin. alkuperäinen Easy-RSA-opas kattaa pyyntö-, allekirjoitus-, mitätöinti- ja CRL-vaiheet järjestyksessä. Pidä CA:n allekirjoitusmateriaali sen nimetyllä omistajalla; asiakkaat tarvitsevat omat tunnuksensa ja asiaankuuluvan julkisen luottamuksen, eivät koskaan kopiota allekirjoitusavaimesta.

PIN-pohjainen OpenVPN-ratkaisu on toinen laillinen luottamusjärjestely, ei korjausta odottava rikkinäinen PKI. Eikä tilille kirjautuminen poista tarvetta todentaa palvelin valitsemallasi protokollalla.

Vastaa neljään kysymykseen ennen valintaa: kuka hyväksyy uuden identiteetin, missä sen yksityinen avain sijaitsee, miten sertifikaatti päätyy asiakkaalle ja miten eläkkeelle jäänyt identiteetti lakkaa tulemasta hyväksytyksi.