Bæta við VPN-viðskiptavini án endurbyggingar CA

Þú þarft eitt vottorð í viðbót fyrir eina fartölvu í viðbót, en fyrsta leiðbeiningin í leitarniðurstöðunum byrjar á skipun sem þurrkar PKI möppuna. Sú skipun tilheyrir fyrstu uppsetningu, ekki skráningu, og að keyra hana kostar þig CA, útgáfusöguna og hvert biðlaraprófíl sem treysti gamla útgefandanum. Ákvörðunin er þrengri: hefur útgefandinn enn nothæft ástand, og passar nýja tækið í skráningastefnu þína? Þrjú skilyrði ráða því, og aðeins eitt réttlætir endurbyggingu.

Hvað endurbygging eyðileggur í raun

Endurfrumsstilling PKI kemur tómri byggingu í stað möppunnar: nýr CA-lykill og vottorð, tóm útgáfugagnagrunnur, nýr raðnúmerateljari. Biðlararnir fylgja ekki sjálfir; prófílar þeirra festa gamla CA, svo hvert tæki verður að skrá sig aftur, og þau sem ekki er hægt að ná í verða að gera handvirkt.

Hljóðlátara tapið er bókhaldið. Afturköllun byggist á því að vita hvaða raðnúmer þú gafst út og hverjum. Þurrkaðu skrána og þú getur enn skrifað undir, en getur ekki sagt með vissu hvaða útgefnu vottorða þú ætlaðir að afturkalla. CA-mappa með vottorðum án samsvarandi ástands útgefandans er öryggisafrit sem endurheimtir ranga helminginn af kerfinu.

Að afrita einkalykil CA við hliðina á keyrandi þjóninum er hin skammta leiðin sem þú ættir að hafna: hún gerir undirskriftarvald sem á að vera utan nets að einni skrá í viðbót á hýsingaraðila með ótraustum umferð.

Fyrsta skilyrði: er ástand útgefandans enn aðgengilegt?

Finndu möppuna sem þjóninn treystir í raun áður en þú ákveður. Berðu saman vottorðið sem þjóninn sýnir sem CA við það í PKI möppunni eftir fingrafari, ekki skráarnafni:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Ef fingraförin stemma er skráningin vaxandi og þú átt ekki að endurbyggja neitt. Ef þau eru frábrugðin skrifar þú undir með CA sem þjóninn treystir ekki: vottorðið setur sig hreint upp og bregst við handabandið, og sú villa er greind í klukkustundir sem biðlaragalli.

Leitaðu þá að útgáfuástandinu: skrávísin, raðteljarinn og skráin með CRL númerinu. Ef skrávísin er farin en lykillinn lifir getur þú gefið út, en erfir vandamál með skráningu afturkallana. Skráðu það í breytingaskrána, því næsta afturköllunarbeiðni mun afhjúpa það.

Annað skilyrði: hver hefur nýja einkalykilinn?

Þetta er ákvörðunin sem notendur finna fyrir, svo taktu hana skýrt. Lykill sem biðlarinn býr til og sendir sem beiðni heldur einkahlutanum í tækinu frá fyrstu skipun, og stjórnandinn snertir hann aldrei. Lykill sem þjóninn býr til er auðveldari fyrir tæki án verkfæra, en gerir stjórnandann að gæslumanni hvers lykils og eykur áhrif þjónsárásar.

Með Easy-RSA 3 gegn núverandi CA eru innflutningur og undirritun beiðni tvær skipanir:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Veldu vottorðstegundina viljandi. Beiðni sem er undirrituð sem þjóns-vottorð í stað biðlara-vottorðs gefur skrá sem lítur vel út og mótaðilinn hafnar, og villuboðið segir sjaldan hvers vegna. Með openssl ca býr sama val í viðbótunum sem þú sendir, ekki í sjálfgefna hlutanum.

Þriðja skilyrði: þarf þjóninn meira en vottorð?

Fyrir venjulegan OpenVPN þjón með vottorðasannvottun er vottorðið sjálf skráningin: algenga nafnið verður auðkenni biðlarans, og hver mappa, ýtt leið eða kyrrstætt vistfang hvílir á því nafni. Bættu vottorðinu við og gleymdu stillingunni, göngin tengjast en nauðsynlegu leiðirnar birtast aldrei.

Vettvangar breyta þessu. OpenVPN Access Server heldur eigin notendagagnagrunni, svo undirritað vottorð er ekki reikningur; reikningurinn verður að vera til og leyfður. Aðrar gáttir tengja auðkennisstreng við hóp. Skráning eins tækis snertir venjulega tvö kerfi, og vottorðið er aðeins það fyrsta.

Vaxandi ferlið og hvenær endurbygging er rétt

Röðin sem bætir við tæki án skaða: staðfestu útgefandann með fingrafari, taktu ferskt öryggisafrit af PKI möppunni, flyttu inn og skrifaðu undir beiðnina fyrir biðlarahlutverkið, skilaðu vottorðinu með keðju sinni um samþykktu rásina, og staðfestu áður en notandinn tengist:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Tilgangslínan á að sýna SSL client. Ljúktu með því að uppfæra CA öryggisafritið eftir útgáfuna, því afrit sem tekið var fyrir nýja raðnúmerið endurheimtir ástand án tækisins sem þú bættir við.

Endurbygging er rétt í þremur tilvikum: CA lykillinn er í hættu, útgáfuástandinu er glatað óbætanlega, eða þú breytir viljandi lykilreikniritinu eða vottorðastefnunni. Öll þrjú eru verkefni með áætlun um endurskráningu hvers biðlara, ekki skref í beiðni fyrir eitt tæki. Ef ekkert á við skráðu þá vaxandi og láttu útgefandann í friði.