Serve Easy-RSA per OpenVPN? Dipende da chi possiede la CA

Un tutorial dice di installare Easy-RSA prima di configurare OpenVPN, così si presume che i due formino un pacchetto. Non è così. Easy-RSA è un’utilità di gestione PKI che guida OpenSSL; OpenVPN è il tunnel. Una decide di chi fidarsi, l’altro sposta i pacchetti.

Il confronto che conta non è quale strumento sia migliore. È quale dei due possiede l’emittente nella vostra organizzazione.

Che cos’è davvero Easy-RSA

Il progetto si descrive come un’utilità di gestione PKI X.509, con OpenSSL che svolge il lavoro crittografico. Ciò significa che racchiude generazione delle chiavi, richieste di certificato, politica di firma e revoca in una struttura di directory ripetibile. Non aggiunge uno strato di cifratura a un tunnel già stabilito e non rende RSA più forte della stessa chiave prodotta da un altro strumento competente. Quello che fa è rendere il flusso di lavoro verificabile.

È un vantaggio reale, ma operativo anziché crittografico.

Seguite un portatile attraverso la registrazione

Un nuovo portatile genera la propria chiave e invia una richiesta di certificato, così la chiave privata non lascia mai il dispositivo. L’emittente firma poi quella richiesta con un tipo che seleziona le estensioni giuste per un ruolo client. In Easy-RSA è ./easyrsa sign-req client laptop-a.

L’operatore deve comunque decidere che questa persona merita l’accesso. Nessuno strumento di firma deduce un diritto da un nome comune.

Il certificato firmato torna al dispositivo che detiene la chiave corrispondente, e la distribuzione della VPN fornisce separatamente fiducia nel server, controlli d’identità, politica di rete e requisiti dell’account. Un file nella directory di output dell’emittente non prova nulla di tutto ciò. Solo una stretta di mano completata lo fa.

Seguite lo stesso portatile all’uscita

È nella rimozione che la scelta dell’emittente si vede davvero. Un flusso di lavoro utilizzabile identifica il certificato, registra la revoca e produce ciò che serve ai sistemi che si fidano per rifiutarlo. Easy-RSA separa ./easyrsa revoke laptop-a da ./easyrsa gen-crl, e il secondo passo è quello che la gente dimentica. Generare una CRL sull’emittente non la consegna a nessun verificatore VPN.

Distribuzione, comportamento al ricaricamento e cosa accade alle sessioni già stabilite sono decisioni di distribuzione, non funzioni dello strumento.

Quel divario è l’argomento pratico a favore di un flusso di lavoro consolidato rispetto a un mucchio di comandi openssl ad hoc. La parte difficile nel gestire un emittente non è il primo certificato. È mantenere coerenti registri di emissione, backup, rinnovi e rimozioni mentre i dispositivi vanno e vengono.

Quando esiste già un emittente

Se la vostra organizzazione gestisce già un servizio di certificati approvato, registratevi tramite quello. Costruire una seconda CA perché un tutorial conteneva comandi Easy-RSA crea lavoro di distribuzione della fiducia, lavoro di backup e una seconda cosa da revocare correttamente.

Un emittente locale è un impegno a gestire una CA, non una casella in una guida all’installazione.

Quando Easy-RSA è la scelta giusta

Per una piccola installazione privata che ha davvero bisogno del proprio emittente, Easy-RSA offre un flusso di lavoro mirato senza assemblare ogni operazione a mano. La guida Easy-RSA originale copre i passaggi di richiesta, firma, revoca e CRL in ordine. Tenete il materiale di firma della CA presso il suo proprietario designato; i client necessitano delle proprie credenziali e della fiducia pubblica pertinente, mai di una copia della chiave di firma.

Un progetto OpenVPN basato su PIN è un’altra legittima disposizione di fiducia, non una PKI rotta in attesa di riparazione. E l’accesso all’account non elimina la necessità di autenticare il server con qualunque protocollo abbiate scelto.

Rispondete a quattro domande prima di scegliere: chi approva una nuova identità, dove vive la sua chiave privata, come il certificato raggiunge il client e come un’identità ritirata smette di essere accettata.