Haltu OpenVPN CA undirskriftarlyklinum utan /etc/openvpn

Tvær möppur sem líta eins út í kennsluefni sinna algjörlega mismunandi hlutverkum. Önnur geymir vottunarstofuna: einkalykil hennar, raðnúmerateljarann og skráningu yfir allt sem hún hefur undirritað. Hin geymir það sem daemoninn þarf til að ræsa og þjóna biðlurum. Að setja báðar á sama hýsil undir sama aðgangi er þægilegt í eitt síðdegi og dýrt það sem eftir er líftíma uppsetningarinnar, því daemoninn keyrir þá við hlið þess eina lykils sem getur búið til hvaða auðkenni sem hann vill.

Hvað CA-vinnusvæðið inniheldur

PKI-mappa er ástand útgefanda, ekki stillingar. Hún geymir einkalykil og vottorð CA, raðnúmeraskrá, skrá yfir útgefin vottorð og efniviðinn fyrir hvert auðkenni sem búinn hefur verið til úr þeim.

Að undirrita beiðni breytir þessu ástandi, og þess vegna tilheyrir vinnusvæðið aðgangi sem stjórnandi hefur umsjón með á hýsli þar sem VPN-þjónustan keyrir ekki. Sá sem getur lesið einkalykil CA getur gefið út vottorð sem þjónninn mun treysta, svo vernd lykilsins er allt traustlíkanið í einni skrá. Að afrita hann á annan stað til að spara skref býr til annað fyrirbæri til að vernda og annað til að gleyma. Hver undirskrift hækkar líka raðnúmerið og bætir færslu við skrána, og þess vegna er vinnusvæðið ein eintak af ástandi frekar en mappa af skrám.

Opinbera CA-vottorðið er öðruvísi. Því er ætlað að dreifa, og það er það sem biðlarar og þjónar nota til að staðfesta hvort annað.

Hvað daemoninn les þegar hann ræsir

Keyrandi þjónn neytir lítils mengis: eigin vottorðs, eigin einkalykils, CA-vottorðsins til að staðfesta jafningja og hvers kyns lykilefnis sem valið hamur hans krefst. Hann les þessar slóðir við ræsingu og aftur við endurhleðslu.

Eignarhald verður að meta gagnvart einingunni sem raunverulega ræsir, ekki gagnvart gagnvirku root-skel. Skilgreind sandkassamyndun getur gert hluta skráakerfisins skrifvarið eða ósýnilegan jafnvel þótt handvirk prófun sem root takist.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

Þriðja línan er sú sem fólk sleppir. Hún spyr eigin aðgang daemonins hvort hann geti lesið lykilinn, og það er eina útgáfan af spurningunni sem skiptir máli eftir að búið er að fella forréttindi. Núllútgangur sem root segir ekkert um hvað gerist eftir féllinguna.

Það er þess virði að aðskilja bæði bilunarslóðin áður en þú breytir nokkru leyfi. Undirskriftarbilun bendir á PKI-möppuna, leitarheimild á yfirmöppum hennar og aðganginn sem keyrir útgefandann. Ræsingarbilun bendir á eininguna, vinnumöppu hennar og slóðirnar sem nefndar eru í stillingum þjónsins. Að gera allt tréð læsilegt fyrir alla lagar hvorki né og fjarlægir mörkin sem bæði byggja á.

Hvers vegna afritun CA-lykilsins á þjóninn mistekst síðar

Afritið byrjar venjulega sem kembiforritaaðgerð: einhver vill endurnýja biðlara á VPN-hýslinu, svo CA-lykillinn endar í /etc/openvpn og endurnýjunin virkar. Skammtímaverkefnið tekst og mörkin eru farin.

Þá er tekið öryggisafrit af þjóninum og undirskriftarvaldið fer með í afritin. Skyndimynd, stuðningspakki eða afrit af stillingamöppunni ber nú getuna til að gefa út traust auðkenni svo lengi sem CA er gild. Sá sem hefur það afrit getur búið til vottorð fyrir hvaða nafn sem þjónninn tekur, þar á meðal nöfn sem aldrei voru gefin út. Eina skráningin um þá útgáfu er sú sem þau velja að halda.

Að jafna sig úr þessu ástandi snýst ekki um að eyða skrá. Þú verður að ákveða hvort lykillinn var afhjúpaður, snúa CA ef svo var og endurdreifa trausti til hvers jafningja. Aðskilið vinnusvæði kemur í veg fyrir allt samtalið.

Aðgangar, möppur, öryggisafrit

Gefðu útgefandanum eigin aðgang og heimamöppu, haldið frá VPN-hýslinu þar sem það er gerlegt. Gefðu daemoninum annan aðgang, með lesaðgang að efninu sem dreift hefur verið og skrifaðgang að engu sem gefur út vottorð. Dreifðu með því að afrita opin vottorð út og aldrei með því að draga einkaaðstöðu útgefandans inn. Taktu öryggisafrit af hlutverkunum tveimur aðskilið, því næmi þeirra og endurheimtusögur eru ólíkar.

Eftir afturköllun skaltu uppfæra CRL-skrána sem stillingar þjónsins nefna og endurhlaða svo þjónustuna að nýjar tengingar lesi hana. Easy-RSA skjölun fjallar um uppsetningu vinnusvæðisins og undirskriftarflæðið; eignarhaldsreglurnar í kringum það eru áfram ákvörðun um hýsilinn þinn. Staðfestu hvað þjónustan hlóð með openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate í stað þess að gera ráð fyrir að endurhleðslan hafi tekið hana.

Prófun sem sannar aðskilnaðinn

Athugaðu neikvæða tilfellið, ekki bara það sem virkar. Undirritaðu vottorð frá aðgangi útgefandans eins og hannað var og staðfestu síðan að sami aðgangur geti hvorki ræst þjónustuna né lesið einkalykil þjónsins. Staðfestu síðan að aðgangur daemonins geti ekki lesið einkalykil CA.

Þessar þrjár athuganir taka nokkrar mínútur og lifa af starfsmannabreytingar, því þær eru fullyrðingar um heimildir frekar en um venju. Skrifaðu niðurstöðuna niður með slóðunum og aðgangunum sem hún náði til, auk dagsetningarinnar þegar þú keyrðir þær. Næsta manneskja sem erfir þessa uppsetningu mun annars leiða mörkin aftur út frá kennsluefni sem hafði þau aldrei. Dagsett skráning er líka það sem gerir næstu endurskoðun að mínútum í stað síðdegis.