Eitt skírteini á tæki gerir lykilinn ekki bundinn við tækið
Skírteini á hvert tæki er stjórnunarval, ekki binding við tækið. Það sem ræður bindingunni er hvar einkalykillinn er geymdur, allt frá afritanlegri skrá að TPM.
Þú gefur út sér skírteini fyrir hverja fartölvu, svo þú gerir ráð fyrir að VPN geti greint þær í sundur. Það getur ekki. Biðlara-skírteini sannar að sá sem tengist hafi samsvarandi einkalykil, og afritað prófíl hefur hann líka.
Skírteinið á hvert tæki er samt góð hugmynd. Það vinnur bara annað verk en flestir gera ráð fyrir.
Hvað biðlara-skírteini sannar í raun
Í handsalinu undirritar biðlarinn með einkalyklinum sem passar við skírteinið, og þjónninn staðfestir undirskriftina gagnvart CA sem hann treystir. Ekkert í þeirri skiptum lýsir vélinni. Hvert tæki sem hefur bæði skírteinið og lykilinn framleiðir sams konar undirskrift, svo prófíll sem afritaður er á aðra fartölvu lítur nákvæmlega út eins og frumritið. Skírteinið nefnir auðkenni; það nefnir ekki vélbúnað.
Einstök á hvert tæki borgar sig enn, því hún gerir afturköllun nákvæma. Þetta er stjórnunareiginleiki, ekki tæknilegt lás.
Þrjú stig lykilgeymslu
Fyrsta stigið er lykilskrá á diski. Hún er flytjanleg að hönnun, og þar búa flest OpenVPN-prófílin.
Annað stigið er lykill sem stýrikerfið merkir sem ekki útflutningshæfan. Windows getur búið til tækjalykil í skírteinageymslu sinni og neitað venjulegri útflutningu, sem stöðvar tilefnislausar afritanir. Hann er ekki vélbúnaðarstuddur, og með nægum aðgangi að vélinni er hægt að endurheimta slíka lykla, svo hann eykur áreynsluna í stað þess að reisa múr.
Þriðja stigið er lykill sem er búinn til inni í öryggisvélbúnaði: TPM, snjallkort, SIM eða PIV-tákn. Þessi einingar hafa ekki rásirnar til að flytja út lykilinn sem þær bjuggu til, og undirritunin fer fram inni í einingunni. Lykillinn verður aldrei skrá sem hver sem er getur afritað.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Sú tafla er öll röksemdin í þremur línum.
Hvað easy-rsa getur og getur ekki
Að gefa út skírteini á hvert tæki er einfalt. Búðu til sérstakt sameiginlegt nafn fyrir hvert tæki gagnvart sama CA, til dæmis ./easyrsa build-client-full laptop-a nopass, og endurtaktu fyrir hvert tæki. Skráðu hvaða sameiginlega nafn tilheyrir hvaða manneskju og vél.
Afturköllun er jafn bein: ./easyrsa revoke laptop-a, endurbúðu CRL með ./easyrsa gen-crl, og vertu viss um að þjónninn lesi hana í raun í gegnum crl-verify.
Það sem CA getur ekki gert er að staðfesta hvar einkalykillinn er síðan. Ef þú býrð til lykilinn á CA-vélinni og afritar hann á tækið, bjóstu til annað eintak við útgáfuna. Ekki útflutningshæfan lykil verður að búa til á tækinu, eða flytja inn í vélbúnað sem sleppir honum ekki.
Stýringar sem lifa afritað prófíl
Gerðu ráð fyrir að prófíllinn geti verið afritaður og hannaðu í kringum það. Tenging reikningsins við annan þátt svo skírteini eitt og sér nægi ekki. Gefðu hverju tæki sína eigin stefnu svo drægni einnar auðkenningar haldist takmörkuð. Og fylgstu með sama sameiginlega nafni tengdu frá tveimur vistföngum á sama tíma, því þannig lítur deilt prófíl út í tengiskrá.
Hröð, skjöluð afturköllun er stýringin sem virkar enn eftir að afrit hefur verið gert. Allt annað er forvörn.
Fullyrðingin sem þjónninn getur í raun treyst á
Einstök kemur frá CA. Binding við tækið kemur frá lykilgeymslu. Aðeins vélbúnaður sem getur ekki flutt út lykil sinn gerir eitt skírteini á hvert tæki að fullyrðingu sem þjónninn framfylgir, í stað stefnu sem allir samþykkja að fylgja.