Ар бир түзмөккө бир сертификат ачкычты түзмөккө байланыштырбайт
Ар бир түзмөккө сертификат — административдик тандоо, түзмөккө байлоо эмес. Байлоону жеке ачкычтын кайда жайгашканы чечет, көчүрүүгө боло турган файлдан TPMге чейин.
Сиз ар бир ноутбукка өзүнчө сертификат бересиз, ошондуктан VPN аларды ажырата алат деп ойлойсуз. Ажырата албайт. Клиент сертификаты туташкан адамда тиешелүү жеке ачкыч бар экенин далилдейт, көчүрүлгөн профилде да ал ачкыч бар.
Ар бир түзмөккө сертификат дагы эле жакшы идея. Ал көпчүлүк күткөндөн башка иш аткарат.
Клиент сертификаты чындыгында эмнени далилдейт
Кол кармашуу учурунда клиент өз сертификатына тиешелүү жеке ачкыч менен кол коет, ал эми сервер бул кол тамганы ишенген CA алдында текшерет. Бул алмашууда машинаны сүрөттөгөн эч нерсе жок. Сертификат менен ачкычты чогуу кармаган каалаган түзмөк бирдей кол тамга жасайт, ошондуктан экинчи ноутбукка көчүрүлгөн профиль түп нускага так окшош. Сертификат инсандыкты атайт; аппараттык камсыздоону атабайт.
Ар бир түзмөккө уникалдуулук дагы эле баалуу, анткени ал керүүнү так кылат. Бул административдик касиет, техникалык кулпу эмес.
Ачкычты сактоонун үч деңгээли
Биринчи деңгээл — дисктеги ачкыч файлы. Ал долбоор боюнча көчмө жана OpenVPN профилдеринин көбү ошол жерде жашайт.
Экинчи деңгээл — операциялык система экспорттолбойт деп белгилеген ачкыч. Windows өз сертификат кампасында түзмөк ачкычын жаратып, кадимки экспорттон баш тарта алат, бул кокусунан көчүрүүнү токтотот. Ал аппараттык камсыздоо менен колдоого алынган эмес, жана машинага жетиштүү мүмкүнчүлүк болгондо мындай ачкычтарды калыбына келтирүүгө болот, ошондуктан ал дубал тургузуунун ордуна күч-аракетти жогорулатат.
Үчүнчү деңгээл — коопсуздук аппараттык камсыздоосунун ичинде жаралган ачкыч: TPM, акылдуу карта, SIM же PIV токен. Бул модулдарда өздөрү жараткан ачкычты экспорттоочу схема жок, жана кол коюу модулдун ичинде жүрөт. Ачкыч эч качан бирөө көчүрө алган файлга айланбайт.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Бул таблица — үч саптагы бүткүл далил.
easy-rsa эмне кыла алат жана эмне кыла албайт
Ар бир түзмөккө сертификат берүү жөнөкөй. Бир CA алдында ар бир түзмөк үчүн өзүнчө жалпы ат түзүңүз, мисалы ./easyrsa build-client-full laptop-a nopass, жана ар бир түзмөк үчүн кайталаңыз. Кайсы жалпы ат кайсы адамга жана машинага таандык экенин жазып коюңуз.
Керүү да ошондой түз: ./easyrsa revoke laptop-a, CRLди ./easyrsa gen-crl менен кайра жаратыңыз жана сервер аны чындыгында crl-verify аркылуу окуганына көз жеткириңиз.
CA кыла албаган нерсе — жеке ачкычтын кийин кайда экенин текшерүү. Эгер ачкычты CA хостунда жаратып, түзмөккө көчүрсөңүз, берүү учурунда экинчи көчүрмө жараткансыз. Экспорттолбой турган ачкыч түзмөктө жаралышы керек же аны чыгарбаган аппараттык камсыздоого импорттолушу керек.
Көчүрүлгөн профилге туруштук бере турган көзөмөлдөр
Профилди көчүрүүгө болот деп эсептеңиз жана ошого жараша долбоорлаңыз. Эсепти экинчи факторго байлаңыз, жалгыз сертификат жетишсиз болсун. Ар бир түзмөккө өз саясатын бериңиз, бир инсандыктын жетүү аймагы чектелүү калсын. Жана ошол эле жалпы аттын бир убакта эки даректен туташканын көзөмөлдөңүз, анткени бөлүшүлгөн профиль туташуу журналында так ушундай көрүнөт.
Тез жана документтелген керүү — көчүрмө болгондон кийин да иштеген көзөмөл. Калганынын баары алдын алуу.
Сервер чындыгында таяна алган ырастоо
Уникалдуулук CAдан келет. Түзмөккө байлоо ачкычты сактоодон келет. Өз ачкычын экспорттой албаган аппараттык камсыздоо гана ар бир түзмөккө бир сертификатты баары макулдашкан саясат эмес, сервер колдонгон ырастоого айландырат.