OpenVPN-Zertifikater erneieren: d'Zertifikat liwweren, net den Timer

Zwee Erneierungsdesignen gesinn an enger Designreview identesch aus a behuelen sech am Januar komplett anescht. Déi éischt léisst en Timer lafen, stellt Zertifikater nei aus a geheien Dateien an en gedeelte Dossier. Déi zweet behandelt Erneierung als Liwwerproblem: wien freet, wat d'Berechtegung beweise muss, wéi de Material op den Apparat kënnt a wat de Client dozou bréngt, et ze benotzen. Nëmmen déi zweet iwwersteet en Offline-Laptop, en ausgemustert Verméigen an eng Liwwerung, déi stëll feelgeschloen ass.

Vergläicht déi zwee Designen do, wou se sech wierklech ënnerscheeden

Den Timer-Design optiméiert d'Serversäit. Eng geplangten Aufgab rifft d'CA, en neit Zertifikat erschéngt an den Operateur betruecht d'Aarbecht als erledegt. Alles wat no der Ausstellung geschitt, ass d'Problem vun engem aneren, bis en Apparat sech net ka verbannen an den Ofleefdatum erkläert firwat.

Den Workflow-Design optiméiert déi lescht Meil. E geet dovun aus, datt d'Ausstellung ee Glidd an enger Kette ass an datt all spéidere Schrëtt onofhängeg feel schloe kann. Dat kascht méi beim Bauen a vill manner beim Betreiwen, well d'Feeler als verfollegt Zoustänn erschéngen an net als ofgelafene Clienten.

Eng nëtzlech Manéier, den Ënnerscheed am Bléck ze behalen, ass d'Reiefolleg, déi all Design ausdrécklech muss nennen.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Erkennt d'Fënster aus dem Zertifikat selwer

Liest d'Gültegkeet aus dem Zertifikat, deen de Client tatsächlech presentéiert, net aus dem Datum, deen an en kopéierten Dateinumm agebaut ass. Dateinimm driften a fir eng Datei, op där 2026 steet, kann en Noweis enthalen, deen am Mäerz ofleeft.

Loosst Loft an der Fënster fir déi lues Fäll: Apparater, déi Woche laang offline sinn, Genehmegungen, déi e Mënsch brauchen, an Liwwerweeër, déi eng Kéier feel schloen, ier se funktionéieren. En Timer, deen Erfolleg mëttelt, beweise just, datt den Timer gelaf ass, net méi.

Autoriséiert d'Ufro, ier eppes ausgestallt gëtt

En existéierend Zertifikat kann Deel vun engem legitime Erneierungsmechanismus sinn, awer säin Subjektstext ass keng Autorisatiounsentscheedung. D'Fro, déi beäntwert muss ginn, ass ob dësen Kont an dësen Apparat nach ëmmer en Recht op eng Identitéit an der Flott hunn, an déi Äntwert lieft an Ären Asset-Regësteren an net am Zertifikat.

En ausgemusterten Laptop, deem seng geplangten Aufgab nach leeft, sollt keen neit Recht kréien. RFC 7030 ass hei liesenswäert, well et d'authentifizéiert Neregistréierung vun der serverseiteger Autorisatioun a Politik trennt; et ass e Modell fir ze léinen, keng Behauptung, datt OpenVPN oder EasyRSA dee Protokoll liwweren.

Liwweren, Virbereeden an Aktivéieren als getrennt Schrëtt

D'Ausstellung erhält Identitéit, Zweck an Ausstellungsverhältnis, an en Ersatz, dee mat engem neien Schlësselpaar erstallt gouf, ass nëtzlos, wann de passenden Schlëssel net mat him reest. Liwwert d'Paar iwwer e Kanal mat engem Zougrëffskontroll-Design hannendrun, well eng net ze erraden URL ass Verdeckung an net Kontroll.

D'Virbereedung ass de Punkt, wou déi meescht Automatiséierung stëll bricht. En importéierte Profil kann op enger Plaz stoen, während en Administrateur eng Datei soss anzwousch aktualiséiert, an de Client présentéiert weider dat aalt Zertifikat, bis een et mierkt. Schreift de Pad op, deen de Client liest, de Kont, deen derdäerf schreiwen, an d'Evenement, dat en Neillueden ausléist. Bestätegt dann, datt den Ersatz déi Datei ass, déi tatsächlech benotzt gëtt, an net eng Kopie, déi nieft him ukomm ass.

Verifikatioun bedeit eng frësch Authentifizéierung mam neie Material an eng Kontroll vun der Applikatioun, déi de Benotzer brauch. En Tunnel, deen schonn opgebaut ass, kann nach de virege Noweis spigelen, dofir ass eng oppe Verbindung keen Noweis vun enger erfollegräicher Erneierung.

Designt d'Rettung vun der verpasster Fënster als éischt

Wann e Laptop de Registrierungsservice nëmmen iwwer d'VPN erreecht, erstellt den Ofleef eng Schlauf: den Apparat brauch en Zertifikat, fir an den Tunnel ze kommen, an den Tunnel, fir d'Zertifikat ze sichen. Entscheet d'Out-of-Band-Regelung, ier déi éischt geplangten Aufgab erausgeet, egal ob et en separat authentifizéierten Registrierungsendpunkt oder eng Neiregistréierung mat Hëllef vum Administrateur ass.

Wat Dir och wielt, et muss den Ufroer an dat aktuellt Recht verifizéieren. De Server esou ze konfiguréieren, datt en ofgelaf Zertifikater vun all deem ugeholl gëtt, deen freet, ass kee Rettungswee, et ass eng permanent Schwächung vun der Kontroll, déi Dir mat dem Rescht vum Design verdeedegt hutt.

Schlussendlech hält Erneierung a Kompromittéierung an getrennte Prozeduren. E geleakte Schlëssel brauch Widderruff an eng Äntwert op aktiv Sessiounen, an den Ofleefdatum ze verlängeren enthält näischt dovun. Huelt en Offline-Apparat, eng feelgeschloe Liwwerung an en ausgemustert Verméigen an den Akzeptanztest op, an de Plang ass bereet fir aktivéiert ze ginn.