In VPN-klient tafoegje sûnder de CA opnij te bouwen

Jo hawwe noch ien sertifikaat nedich foar noch ien laptop, mar de earste hantlieding yn de sykresultaten begjint mei in kommando dat de PKI-map fuortsmyt. Dat kommando heart by de earste opset, net by ynskriuwing, en it kostet jo de CA, de útjefskaart en elk kliïntprofyl dat de âlde útjouwer fertroude. De beslissing is smeller: hat jo útjouwer noch in brûkbere tastân, en past it nije apparaat yn jo ynskriuwbelied? Trije betingsten beslisse it, en mar ien rjochtfeardiget in weropbou.

Wat in weropbou echt ferneatiget

It opnij initialisearjen fan in PKI ferfangt de map troch in lege struktuer: nije CA-kaai en sertifikaat, lege útjefdatabase, nije searjenûmer-teller. Kliïnten folgje net fansels; harren profilen pinne de âlde CA, dus elk apparaat moat opnij ynskreaun wurde, en berikkeleaze apparaten mei de hân.

It stilste ferlies is de boekhâlding. Yntrekking hinget ôf fan witten hokker searjenûmers jo oan wa útjûn hawwe. Meitsje de yndeks skjin en jo kinne noch tekenje, mar net mear mei fertrouwen sizze hokker fan de útjûne sertifikaten jo yntrekke woene. In CA-map mei sertifikaten sûnder de byhearrende útjouwertastân is in reservekopy dy’t de ferkearde helte fan it systeem weromset.

De priveekaai fan de CA njonken de rinnende tsjinner kopiearje is de oare koarte wei dy’t jo wegerje moatte: it makket in tekenautoriteit dy’t offline bliuwe moat ta noch in bestân op in host mei net-fetroude ferkear.

Earste betingst: is de tastân fan de útjouwer noch berikber?

Fyn earst de map d’t de tsjinner echt fertrout. Fergelykje it sertifikaat dat de tsjinner as CA presintearret mei dat yn jo PKI-map op fingerôfdruk, net op bestânsnamme:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

As de ôfdrukken oerienkomme, is de ynskriuwing tafoegjend en moatte jo neat weropbouwe. As se ferskille, tekenje jo mei in CA dy’t de tsjinner net fertrout: it sertifikaat ynstallearret skjin en mislearret by de hânskud, en dy flater wurdt oerenlang ferkeard diagnostisearre as in kliïntflater.

Sykje dan de útjefstatus: it yndeksbestân, de searjeteller en it bestân mei it CRL-nûmer. As de yndeks fuort is mar de kaai libbet, kinne jo útsjaan, mar jo ervje in probleem mei it fêstlizzen fan yntrekkingen. Skriuw dat yn it feroaringsregister, want it folgjende yntrekkingsfersyk sil it blootlizze.

Twadde betingst: wa hâldt de nije priveekaai?

Dit is de beslissing dy’t brûkers fiele, nim dy dêrom eksplisyt. In kaai dy’t op de kliïnt makke wurdt en as fersyk yntsjinne wurdt, hâldt de priveehelte fan it earste kommando ôf op it apparaat, en de behearder rekket dy nea oan. In kaai op de tsjinner is makliker foar apparaten sûnder ark, mar makket de behearder hoeder fan elke kaai en fergruttet de ynfloed fan in tsjinnerkompromis.

Mei Easy-RSA 3 tsjin in besteande CA binne it ymportearjen en tekenjen fan in fersyk twa kommando’s:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Kies it sertifikaattype bewust. In fersyk dat as tsjinnersertifikaat ynstee fan kliïntsertifikaat tekene wurdt, jout in bestân dat der goed útsjocht en troch de partner wegere wurdt, en de flatermelding seit selden wêrom. By openssl ca libbet deselde kar yn de útwreidingen dy’t jo trochjouwe, net yn de standertseksje.

Tredde betingst: hat de tsjinner mear as in sertifikaat nedich?

Foar in gewoane OpenVPN-tsjinner mei sertifikaatferifikaasje is it sertifikaat de ynskriuwing: de mienskiplike namme wurdt de identiteit fan de kliïnt, en elke kliïntmap, trochstjoerde rûte of statysk adres hinget oan dy namme. Foegje it sertifikaat ta en ferjit de konfiguraasje, dan ferbynt de tunnel wylst de nedige rûtes nea ferskine.

Platfoarmen feroarje dit. OpenVPN Access Server hâldt syn eigen brûkersdatabase, dus in tekene sertifikaat is gjin akkount; it akkount moat bestean en tastien wêze. Oare poarten keppelje in identiteitsrije oan in groep. Ien apparaat ynskriuwe rekket meastal twa systemen, en it sertifikaat is mar it earste.

De tafoegjende proseduere en wannear’t in weropbou goed is

De folchoarder dy’t ien apparaat sûnder skea tafoeget: befêstigje de útjouwer op fingerôfdruk, nim in farsk reservekopy fan de PKI-map, ymportearje en tekenje it fersyk foar de kliïntrol, leverje it sertifikaat mei syn keatling fia it goedkarde kanaal, en ferifiearje foardat de brûker ferbynt:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

De doelline moat SSL client sjen litte. Einigje mei it bywurkjen fan de CA-reservekopy nei de útjefte, want in kopy fan foar it nije searjenûmer set in tastân werom sûnder it apparaat dat jo krekt tafoege hawwe.

In weropbou is goed yn trije gefallen: de CA-kaai is kompromittearre, de útjefstatus is ûnferhelber ferlern, of jo feroarje bewust it kaai-algoritme of it sertifikaatbelied. Alle trije binne projekten mei in plan foar opnij ynskriuwen foar elke kliïnt, gjin stappen yn in fersyk foar ien apparaat. Jildt net ien, skriuw dan tafoegjend yn.