Kell Easy-RSA az OpenVPN-hez? Attól függ, kié a CA

Egy útmutató azt mondja, hogy az OpenVPN beállítása előtt telepíteni kell az Easy-RSA-t, ezért az emberek azt hiszik, hogy a kettő egy csomag. Nem az. Az Easy-RSA egy PKI-kezelő segédprogram, amely az OpenSSL-t vezérli; az OpenVPN a csatorna. Az egyik eldönti, kiben bízzunk, a másik csomagokat továbbít.

A fontos összehasonlítás nem az, melyik eszköz jobb. Hanem az, hogy a szervezetében ki birtokolja a kibocsátót.

Mi is valójában az Easy-RSA

A projekt X.509 PKI-kezelő segédprogramként írja le magát, ahol a kriptográfiai munkát az OpenSSL végzi. Ez azt jelenti, hogy kulcsgenerálást, tanúsítványkérelmeket, aláírási szabályzatot és visszavonást csomagol ismételhető könyvtárszerkezetbe. Nem ad titkosítási réteget egy meglévő csatornához, és nem tesz erősebbé egy RSA-kulcsot annál, mint amit egy másik hozzáértő eszköz ugyanabból előállít. Amit tesz, az a munkafolyamat ellenőrizhetővé tétele.

Ez valódi előny, de üzemeltetési, nem kriptográfiai.

Kövessen végig egy laptopot a regisztráción

Az új laptop saját kulcsot generál és tanúsítványkérelmet küld, így a privát kulcs soha nem hagyja el az eszközt. A kibocsátó ezután olyan típussal írja alá a kérelmet, amely az ügyfélszerephez megfelelő kiterjesztéseket választja. Az Easy-RSA-ban ez ./easyrsa sign-req client laptop-a.

Az üzemeltetőnek még mindig el kell döntenie, hogy ez a személy érdemel hozzáférést. Egyetlen aláíró eszköz sem vezet le jogosultságot egy köznévből.

Az aláírt tanúsítvány visszakerül arra az eszközre, amely a megfelelő kulcsot tartja, a VPN-telepítés pedig külön biztosítja a kiszolgáló bizalmát, az identitásellenőrzéseket, a hálózati szabályzatot és a fiókkövetelményeket. A kibocsátó kimeneti könyvtárában lévő fájl ebből semmit nem bizonyít. Csak egy befejezett kézfogás teszi ezt.

Kövesse ugyanazt a laptopot kifelé

Az eltávolítás az, ahol a kibocsátó választása valóban megmutatkozik. A használható munkafolyamat azonosítja a tanúsítványt, rögzíti a visszavonást, és előállítja azt, amire a rá támaszkodó rendszereknek szükségük van az elutasításához. Az Easy-RSA két külön műveletre bontja: ./easyrsa revoke laptop-a és ./easyrsa gen-crl, és a második lépés az, amelyet az emberek elfelejtenek. A CRL előállítása a kibocsátónál nem juttatja el egyetlen VPN-ellenőrzőhöz sem.

A terjesztés, az újratöltési viselkedés és az, hogy mi történik a már létrehozott munkamenetekkel, telepítési döntések, nem eszközfunkciók.

Ez a hézag a gyakorlati érv a kialakult munkafolyamat mellett az ad hoc openssl-parancsok halmaza ellenében. A kibocsátó működtetésének nehéz része nem az első tanúsítvány. Hanem a kibocsátási nyilvántartások, biztonsági mentések, megújítások és eltávolítások összhangban tartása, miközben az eszközök jönnek és mennek.

Amikor már létezik kibocsátó

Ha a szervezete már jóváhagyott tanúsítványszolgáltatást működtet, azon keresztül regisztráljon. Egy második CA felállítása azért, mert egy útmutató Easy-RSA-parancsokat tartalmazott, bizalomterjesztési munkát, biztonsági mentési munkát és még egy dolgot teremt, amelyet helyesen kell visszavonni.

A helyi kibocsátó elköteleződés egy CA működtetése mellett, nem egy jelölőnégyzet a telepítési útmutatóban.

Mikor a helyes választás az Easy-RSA

Egy kis privát telepítéshez, amelynek valóban szüksége van saját kibocsátóra, az Easy-RSA fókuszált munkafolyamatot ad anélkül, hogy minden műveletet kézzel kellene összeállítani. eredeti Easy-RSA-útmutató sorrendben tárgyalja a kérelem, aláírás, visszavonás és CRL lépéseit. Tartsa a CA aláíróanyagát a kijelölt tulajdonosánál; az ügyfeleknek saját hitelesítő adataikra és a vonatkozó nyilvános bizalomra van szükségük, soha nem az aláírókulcs másolatára.

A PIN-alapú OpenVPN-kialakítás egy másik legitim bizalmi elrendezés, nem javításra váró törött PKI. És a fiókba való bejelentkezés nem szünteti meg a kiszolgáló hitelesítésének szükségét a választott protokoll szerint.

Válaszoljon négy kérdésre a választás előtt: ki hagyja jóvá az új identitást, hol él a privát kulcsa, hogyan jut el a tanúsítvány az ügyfélhez, és hogyan szűnik meg egy nyugdíjazott identitás elfogadhatónak lenni.