Trebate li Easy-RSA za OpenVPN? Zavisi koga posjeduje CA

Upute kažu da instalirate Easy-RSA prije postavljanja OpenVPN, pa ljudi pretpostavljaju da je to jedan paket. Nije. Easy-RSA je PKI alat koji pokreće OpenSSL; OpenVPN je tunel. Jedan odlučuje kome se vjeruje, drugi prenosi pakete.

Usporedba koja je važna nije u tome koji je alat bolji. Nego u tome tko u vašoj organizaciji posjeduje izdavatelja.

Što je Easy-RSA zapravo

Projekt se opisuje kao PKI alat za upravljanje X.509, pri čemu OpenSSL obavlja kriptografski rad. To znači da obavija generiranje ključeva, zahtjeve za certifikatima, politiku potpisivanja i opoziv u ponovljiv raspored mapa. Ne dodaje sloj šifriranja postojećem tunelu i ne čini RSA jačim od istog ključa koje proizvede drugi kompetentan alat. Ono što čini jest da tijek rada čini provjerljivim.

To je stvarna korist, ali operativna, a ne kriptografska.

Pratite jedno prijenosno računalo kroz registraciju

Novo prijenosno računalo generira vlastiti ključ i šalje zahtjev za certifikat, pa privatni ključ nikada ne napušta uređaj. Izdavatelj zatim potpisuje taj zahtjev tipom koji odabire ispravne ekstenzije za klijentsku ulogu. U Easy-RSA to je ./easyrsa sign-req client laptop-a.

Operater ipak mora odlučiti da ta osoba zaslužuje pristup. Nijedan alat za potpisivanje ne izvodi pravo iz uobičajenog imena.

Potpisani certifikat vraća se na uređaj koji drži odgovarajući ključ, a implementacija VPN-a odvojeno osigurava povjerenje u poslužitelj, provjere identiteta, mrežnu politiku i zahtjeve računa. Datoteka u izlaznoj mapi izdavatelja ne dokazuje ništa od toga. Samo dovršeno rukovanje to čini.

Pratite isto prijenosno računalo na izlasku

Uklanjanje je mjesto gdje se izbor izdavatelja doista vidi. Upotrebljiv tijek rada prepoznaje certifikat, bilježi opoziv i proizvodi ono što sustavima koji se na njega oslanjaju treba da bi ga odbili. Easy-RSA razdvaja ./easyrsa revoke laptop-a od ./easyrsa gen-crl, a drugi je korak onaj koji ljudi zaboravljaju. Generiranje CRL-a kod izdavatelja ne dostavlja ga nijednom VPN provjerivaču.

Distribucija, ponašanje pri ponovnom učitavanju i što se događa s već uspostavljenim sesijama odluke su implementacije, a ne značajke alata.

Ta praznina praktični je argument za ustaljen tijek rada nasuprot hrpi ad hoc openssl naredbi. Teški dio vođenja izdavatelja nije prvi certifikat. Nego održavanje usklađenosti evidencije izdavanja, sigurnosnih kopija, obnova i uklanjanja dok uređaji dolaze i odlaze.

Kada izdavatelj već postoji

Ako vaša organizacija već vodi odobrenu uslugu certifikata, registrirajte se kroz nju. Postavljanje drugog CA zato što su upute sadržavale Easy-RSA naredbe stvara posao distribucije povjerenja, posao sigurnosnih kopija i drugu stvar koju treba ispravno opozvati.

Lokalni izdavatelj obveza je vođenja CA, a ne kućica za označavanje u vodiču za postavljanje.

Kada je Easy-RSA pravi izbor

Za malo privatno postavljanje kojem uistinu treba vlastiti izdavatelj, Easy-RSA daje usredotočen tijek rada bez sastavljanja svake operacije ručno. izvorne Easy-RSA upute pokrivaju korake zahtjeva, potpisivanja, opoziva i CRL-a redom. Držite materijal za potpisivanje CA kod njegova određenog vlasnika; klijentima trebaju vlastite vjerodajnice i odgovarajuće javno povjerenje, nikada kopija ključa za potpisivanje.

OpenVPN dizajn utemeljen na PIN-u još je jedan legitiman raspored povjerenja, a ne pokvarena PKI koja čeka popravak. I prijava na račun ne uklanja potrebu za autentifikacijom poslužitelja prema protokolu koji ste odabrali.

Odgovorite na četiri pitanja prije odabira: tko odobrava novi identitet, gdje živi njegov privatni ključ, kako certifikat stiže do klijenta i kako umirovljeni identitet prestaje biti prihvaćen.