Egy tanúsítvány eszközönként nem teszi a kulcsot eszközhöz kötötté
Az eszközönkénti tanúsítvány adminisztratív választás, nem eszközhöz kötés. A kötést az dönti el, hol él a privát kulcs, egy másolható fájltól a TPM-ig.
Minden laptopra külön tanúsítványt ad ki, ezért feltételezi, hogy a VPN meg tudja különböztetni őket. Nem tudja. Az ügyféltanúsítvány azt bizonyítja, hogy aki csatlakozik, rendelkezik a megfelelő privát kulccsal, és egy másolt profil is rendelkezik vele.
Az eszközönkénti tanúsítvány továbbra is jó ötlet. Csak más munkát végez, mint amit a legtöbben várnak tőle.
Mit bizonyít valójában az ügyféltanúsítvány
A kézfogás során az ügyfél a tanúsítványához illő privát kulccsal ír alá, a kiszolgáló pedig ezt az aláírást a megbízott CA-val szemben ellenőrzi. Ebben a cserében semmi nem írja le a gépet. Bármely eszköz, amely a tanúsítványt és a kulcsot is birtokolja, azonos aláírást készít, ezért egy második laptopra másolt profil pontosan úgy néz ki, mint az eredeti. A tanúsítvány identitást nevez meg; nem nevez meg hardvert.
Az eszközönkénti egyediség még mindig megéri, mert pontossá teszi a visszavonást. Ez adminisztratív tulajdonság, nem technikai zár.
A kulcstárolás három szintje
Az első szint egy lemezen lévő kulcsfájl. Tervezésénél fogva hordozható, és itt él a legtöbb OpenVPN-profil.
A második szint egy kulcs, amelyet az operációs rendszer nem exportálhatónak jelöl. A Windows képes eszközkulcsot létrehozni a tanúsítványtárában, és megtagadhatja a szokásos exportálást, ami megakadályozza az alkalmi másolást. Ez nem hardveresen támogatott, és kellő hozzáféréssel a géphez az ilyen kulcsok visszanyerhetők, tehát inkább növeli a ráfordítást, mint falat építene.
A harmadik szint egy biztonsági hardveren belül létrehozott kulcs: TPM, intelligens kártya, SIM vagy PIV-token. Ezekből a modulokból hiányzik az áramkör, amellyel exportálni lehetne az általuk létrehozott kulcsot, és az aláírás a modulon belül történik. A kulcs soha nem válik olyan fájllá, amelyet bárki másolhat.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Ez a táblázat a teljes érv három sorban.
Mit tud és mit nem tud az easy-rsa
Az eszközönkénti tanúsítványok kiadása egyszerű. Hozzon létre külön köznapi nevet minden eszközhöz ugyanazon CA előtt, például ./easyrsa build-client-full laptop-a nopass, és ismételje meg minden eszköznél. Jegyezze fel, melyik köznapi név melyik személyhez és géphez tartozik.
A visszavonás ugyanilyen közvetlen: ./easyrsa revoke laptop-a, generálja újra a CRL-t a ./easyrsa gen-crl segítségével, és győződjön meg róla, hogy a kiszolgáló valóban olvassa a crl-verify útján.
Amit a CA nem tud, az annak ellenőrzése, hol él a privát kulcs utána. Ha a kulcsot a CA-gazdagépen hozza létre, és átmásolja az eszközre, a kiadáskor egy második példányt hozott létre. A nem exportálható kulcsot az eszközön kell létrehozni, vagy olyan hardverbe importálni, amely nem adja ki.
A másolt profilt túlélő ellenőrzések
Tételezze fel, hogy a profil másolható, és ennek megfelelően tervezzen. Kösse a fiókot egy második tényezőhöz, hogy egy tanúsítvány önmagában ne legyen elég. Adjon minden eszköznek saját szabályzatot, hogy egy identitás hatóköre korlátozott maradjon. És figyelje ugyanazt a köznapi nevet, amely egyszerre két címről csatlakozik, mert így néz ki egy megosztott profil a kapcsolati naplóban.
A gyors, dokumentált visszavonás az az ellenőrzés, amely a másolás után is működik. Minden más megelőzés.
Az az állítás, amelyre a kiszolgáló valóban támaszkodhat
Az egyediség a CA-tól jön. Az eszközhöz kötés a kulcstárolásból jön. Csak az a hardver, amely nem tudja exportálni a kulcsát, tesz egy eszközönkénti tanúsítványt a kiszolgáló által érvényesített állítássá, ahelyett hogy mindenki által elfogadott szabályzat maradna.