Ien sertifikaat per apparaat makket de kaai net oan it apparaat ferbûn
In sertifikaat per apparaat is in administrative kar, gjin bining oan it apparaat. Wat de bining bepaalt, is wêr’t de priveekaai wennet, fan in kopiaerber bestân oant in TPM.
Jo jouwe in apart sertifikaat foar elk laptop út, dus jo geane derfan út dat de VPN se faninoar skiede kin. Dat kin er net. In kliïntsertifikaat bewiist dat wa’t ferbynt de byhearrende priveekaai hat, en in kopiaerre profyl hat dy ek.
It sertifikaat per apparaat is noch altyd in goed idee. It docht gewoan oar wurk as de measte minsken ferwachtsje.
Wat in kliïntsertifikaat eins bewiist
By de hânskudtekst ûndertekent de kliïnt mei de priveekaai dy’t by syn sertifikaat past, en de tsjinner ferifiearret dy ûndertekening tsjin de CA dy’t er fertrout. Neat yn dy útwikseling beskriuwt de masine. Elk apparaat dat sawol it sertifikaat as de kaai hat, produsearret in identike ûndertekening, dus in profyl dat nei in twadde laptop kopiaerre is liket krekt as it orizjineel. It sertifikaat neamt in identiteit; it neamt gjin hardware.
Unisiteit per apparaat fertsjinnet noch altyd syn plak, want it makket ynlûken sekuer. It is in administratyf eigenskip, gjin technysk slot.
Trije nivo’s fan kaaiopslach
It earste nivo is in kaaiberbestân op skiif. It is fan ûntwerp ôf draachber, en dêr wenje de measte OpenVPN-profylen.
It twadde nivo is in kaai dy’t it bestjoeringssysteem as net-eksportearber merket. Windows kin in apparaatkaai yn syn sertifikaatopslach generearje en gewoane eksport wegerje, wat tafallich kopiearjen tsjinhâldt. Hy is net troch hardware stipe, en mei genôch tagong ta de masine kinne sokke kaaien weromfûn wurde, dus it ferheget de ynspanning ynstee fan in muorre te bouwen.
It tredde nivo is in kaai dy’t binnen feiligenshardware generearre wurdt: in TPM, in tûke kaart, in SIM of in PIV-token. Dy modules hawwe net de skeakelingen om de kaai dy’t se makken te eksportearjen, en it ûndertekenjen bart binnen de module. De kaai wurdt nea in bestân dat immen kopiaerje kin.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Dy tabel is it hiele argumint yn trije rigen.
Wat easy-rsa kin en net kin
Sertifikaten per apparaat útsjaan is ienfâldich. Meitsje in aparte algemiene namme per apparaat tsjin deselde CA, bygelyks ./easyrsa build-client-full laptop-a nopass, en werhelje dat foar elk apparaat. Skriuw op hokker algemiene namme by hokker persoan en masine heart.
Ynlûken is like direkt: ./easyrsa revoke laptop-a, meitsje de CRL op ’e nij mei ./easyrsa gen-crl, en soargje derfoar dat de tsjinner him echt lêst fia crl-verify.
Wat de CA net kin, is ferifiearje wêr’t de priveekaai dêrnei wennet. As jo de kaai op ’e CA-host generearje en nei it apparaat kopiaerje, hawwe jo by it útsjaan in twadde kopy makke. In net-eksportearbere kaai moat op it apparaat generearre wurde, of ymportearre wurde yn hardware dy’t him net frijlitte sil.
Kontrôles dy’t in kopiaerre profyl oerlibje
Gean derfan út dat it profyl kopiaerre wurde kin en ûntwerp dêromhinne. Byn it akkount oan in twadde faktor, sadat in sertifikaat allinnich net genôch is. Jou elk apparaat syn eigen belied, sadat it berik fan ien identiteit beheind bliuwt. En hâld itselde algemiene namme yn ’e gaten dy’t tagelyk fan twa adressen ferbynt, want sa sjocht in dield profyl der yn in ferbiningsoarchsjen út.
Flugge, dokumintearre ynlûking is de kontrôle dy’t noch wurket neidat der al in kopy makke is. Al it oare is previnsje.
De bewearing dêr’t de tsjinner echt op fertrouwe kin
Unisiteit komt fan ’e CA. Apparaatbining komt fan kaaiopslach. Allinnich hardware dy’t syn kaai net eksportearje kin, makket fan ien sertifikaat per apparaat in bewearing dy’t de tsjinner hanthavent, ynstee fan in belied dêr’t elkenien mei ynstimt om te folgjen.