Yksi varmenne laitetta kohden ei sido avainta laitteeseen
Varmenne jokaista laitetta kohden on hallinnollinen valinta, ei sidonta laitteeseen. Sidonnan ratkaisee se, missä yksityinen avain sijaitsee, kopioitavasta tiedostosta TPM:ään.
Myönnät erillisen varmenteen jokaiselle kannettavalle tietokoneelle, joten oletat, että VPN pystyy erottamaan ne. Ei pysty. Asiakasvarmenne todistaa, että yhteyden muodostajalla on vastaava yksityinen avain, ja kopioidulla profiililla on se myös.
Varmenne laitetta kohden on edelleen hyvä ajatus. Se vain tekee eri työtä kuin useimmat odottavat.
Mitä asiakasvarmenne todella todistaa
Kättelyn aikana asiakas allekirjoittaa yksityisellä avaimella, joka vastaa sen varmennetta, ja palvelin vahvistaa allekirjoituksen CA:ta vasten, johon se luottaa. Mikään tuossa vaihdossa ei kuvaa konetta. Mikä tahansa laite, jolla on sekä varmenne että avain, tuottaa samanlaisen allekirjoituksen, joten toiselle kannettavalle kopioitu profiili näyttää täsmälleen alkuperäiseltä. Varmenne nimeää identiteetin; se ei nimeä laitteistoa.
Yksilöllisyys laitetta kohden kannattaa yhä, koska se tekee mitätöinnistä tarkan. Se on hallinnollinen ominaisuus, ei tekninen lukko.
Kolme avaimen säilytystasoa
Ensimmäinen taso on levylle tallennettu avaintiedosto. Se on suunnittelultaan siirrettävä, ja siellä useimmat OpenVPN-profiilit sijaitsevat.
Toinen taso on avain, jonka käyttöjärjestelmä merkitsee ei-vietäväksi. Windows voi luoda laiteavaimen varmenteidensa säilöön ja kieltäytyä tavallisesta viennistä, mikä estää satunnaisen kopioinnin. Se ei ole laitteistopohjainen, ja riittävällä pääsyllä koneelle sellaiset avaimet voidaan palauttaa, joten se lisää vaivaa muurin rakentamisen sijaan.
Kolmas taso on avain, joka luodaan turvalaitteiston sisällä: TPM, älykortti, SIM tai PIV-tunniste. Näiltä moduuleilta puuttuu piiristö, jolla ne voisivat viedä luomansa avaimen, ja allekirjoitus tapahtuu moduulin sisällä. Avaimesta ei koskaan tule tiedostoa, jonka joku voisi kopioida.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Tuo taulukko on koko argumentti kolmessa rivissä.
Mitä easy-rsa voi tehdä ja mitä ei
Varmenteiden myöntäminen laitetta kohden on suoraviivaista. Luo jokaiselle laitteelle erillinen yleisnimi samaa CA:ta vasten, esimerkiksi ./easyrsa build-client-full laptop-a nopass, ja toista jokaiselle laitteelle. Kirjaa, mikä yleisnimi kuuluu kenelle ja mille koneelle.
Mitatöinti on yhtä suoraviivaista: ./easyrsa revoke laptop-a, luo CRL uudelleen komennolla ./easyrsa gen-crl ja varmista, että palvelin todella lukee sen komennon crl-verify kautta.
Sen CA ei voi tehdä, että se vahvistaisi, missä yksityinen avain myöhemmin sijaitsee. Jos luot avaimen CA-isännällä ja kopioit sen laitteelle, loit toisen kopion myöntämisen yhteydessä. Ei-vietävä avain on luotava laitteella tai tuotava laitteistoon, joka ei luovuta sitä.
Valvonnat, jotka kestävät kopioidun profiilin
Oleta, että profiili voidaan kopioida, ja suunnittele sen mukaan. Sido tili toiseen tekijään, jotta pelkkä varmenne ei riitä. Anna jokaiselle laitteelle oma käytäntönsä, jotta yhden identiteetin ulottuvuus pysyy rajattuna. Ja seuraa samaa yleisnimeä, joka yhdistää kahdesta osoitteesta yhtä aikaa, sillä siltä jaettu profiili näyttää yhteyslokissa.
Nopea ja dokumentoitu mitätöinti on valvonta, joka toimii vielä sen jälkeen, kun kopio on jo tehty. Kaikki muu on ennaltaehkäisyä.
Väite, johon palvelin voi todella luottaa
Yksilöllisyys tulee CA:lta. Sidonta laitteeseen tulee avaimen säilytyksestä. Vain laitteisto, joka ei voi viedä avaintaan, muuttaa yhden varmenteen laitetta kohden väitteeksi, jonka palvelin panee täytäntöön, eikä käytännöksi, jota kaikki suostuvat noudattamaan.