Een Zertifikat pro Gerät mécht de Schlëssel net gerätegebonnen
Een Zertifikat pro Gerät ass eng administrativ Wiel, keng Bindung un d’Gerät. Wat d’Bindung bestëmmt, ass wou de private Schlëssel läit, vun enger kopierbarer Datei bis zu engem TPM.
Dir stellt fir all Laptop en eegene Zertifikat aus, dofir hält Dir et fir méiglech, datt d’VPN se kann ënnerscheeden. Kann se net. En Clientzertifikat beweist, datt dee sech verbënnt de passenden private Schlëssel huet, an e kopéierte Profil huet en och.
Den Zertifikat pro Gerät ass nach ëmmer eng gutt Iddi. En mécht just eng aner Aarbecht wéi déi meescht Leit erwaarden.
Wat en Clientzertifikat tatsächlech beweist
Beim Handshake ënnerschreift de Client mat dem private Schlëssel, deen zu sengem Zertifikat passt, an de Server verifizéiert dës Ënnerschrëft géint d’CA, där en traut. Näischt an dësem Austausch beschreift d’Maschinn. All Gerät, dat souwuel den Zertifikat wéi och de Schlëssel huet, produzéiert eng identesch Ënnerschrëft, dofir gesäit e Profil, deen op en zweeten Laptop kopéiert gouf, genee aus wéi d’Original. Den Zertifikat nennt eng Identitéit; en nennt keng Hardware.
Eenzegaartegkeet pro Gerät verdéngt nach ëmmer säi Plaz, well se d’Widderruffung präzis mécht. Et ass eng administrativ Eegenschaft, keen technesche Schlass.
Dräi Niveauen vun der Schlësselspäicherung
Den éischten Niveau ass eng Schlësseldatei op der Plack. Se ass vun der Konzeptioun hier transportabel, an do wunnen déi meescht OpenVPN-Profiler.
Den zweeten Niveau ass e Schlëssel, deen d’Betribssystem als net exportierbar markéiert. Windows ka en Geräteschlëssel a sengem Zertifikatsspäicher generéieren a gewéinlechen Export verweigeren, wat zouverlässegt Kopéieren ophält. En ass net duerch Hardware ënnerstëtzt, a mat genuch Zougang zu der Maschinn kënnen sou Schlësselen erëmfonnt ginn, dofir erhéicht en den Opwand amplaz eng Mauer ze bauen.
Den drëtten Niveau ass e Schlëssel, deen am Sécherheetshardware generéiert gëtt: en TPM, eng Smartcard, eng SIM oder en PIV-Token. Dës Moduler hunn net d’Schaltkreesser, fir de Schlëssel, deen se generéiert hunn, z’exportéieren, an d’Ënnerschreiwen geschitt am Modul. De Schlëssel gëtt ni eng Datei, déi ee konnt kopéieren.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Déi Tabell ass d’ganz Argument an dräi Zeilen.
Wat easy-rsa ka maachen an wat net
Zertifikater pro Gerät auszestellen ass einfach. Erstellt en eegene gemeinsamen Numm pro Gerät géint déiselwecht CA, zum Beispill ./easyrsa build-client-full laptop-a nopass, a widderhëlt et fir all Gerät. Schreift op, wéi ee gemeinsamen Numm zu wéi enger Persoun a Maschinn gehéiert.
D’Widderruffung ass gläich direkt: ./easyrsa revoke laptop-a, generéiert d’CRL mam ./easyrsa gen-crl nei, a vergewëssert Iech, datt de Server se och wierklech iwwer crl-verify liest.
Wat d’CA net ka, ass nozeweisen, wou de private Schlëssel duerno läit. Wann Dir de Schlëssel um CA-Host generéiert an op d’Gerät kopéiert, hutt Dir bei der Ausstellung eng zweet Kopie gemaach. En net exportierbare Schlëssel muss um Gerät generéiert ginn, oder an Hardware importéiert ginn, déi en net erausgëtt.
Kontrollen, déi e kopéierte Profil iwwerliewen
Gitt dovun aus, datt de Profil ka kopéiert ginn, a konzipéiert entspriechend. Bind den Kont un en zweeten Facteur, sou datt en Zertifikat eleng net duergeet. Gitt all Gerät seng eegen Politik, sou datt d’Reechwäit vun enger Identitéit limitéiert bleift. A passt op dee selwechte gemeinsamen Numm op, deen zur selwechter Zäit vun zwou Adressen aus verbënnt, well esou gesäit e gedeelte Profil am Verbindungslog aus.
Eng séier, dokumentéiert Widderruffung ass d’Kontroll, déi nach fonctionnéiert, nodeems eng Kopie gemaach gouf. Alles anescht ass Preventioun.
D’Behaaptung, op déi de Server wierklech ka bauen
Eenzegaartegkeet kënnt vun der CA. D’Bindung un d’Gerät kënnt vun der Schlësselspäicherung. Nëmmen Hardware, déi hire Schlëssel net ka exportéieren, mécht aus engem Zertifikat pro Gerät eng Behaaptung, déi de Server forcéiert, amplaz eng Politik, déi jiddereen akzeptéiert ze verfollegen.