Ar jums reikia „Easy-RSA“ skirtos „OpenVPN“? Priklauso nuo to, kam priklauso CA

Vadove sakoma, kad prieš diegiant OpenVPN reikia įdiegti „Easy-RSA“, todėl žmonės mano, kad abu yra vienas paketas. Taip nėra. „Easy-RSA“ yra PKI valdymo įrankis, kuris valdo OpenSSL; „OpenVPN“ yra tunelis. Vienas nusprendžia, kuo pasitikėti, kitas perkelia paketus.

Svarbus palyginimas yra ne tai, kuri priemonė geresnė. O tai, kam jūsų organizacijoje priklauso leidėjas.

Kas iš tikrųjų yra „Easy-RSA“

Projektas save apibūdina kaip X.509 PKI valdymo įrankį, kuriame kriptografinį darbą atlieka OpenSSL. Tai reiškia, kad jis apgaubia raktų generavimą, sertifikatų užklausas, pasirašymo politiką ir atšaukimą į pakartojamą katalogų struktūrą. Jis neprideda šifravimo sluoksnio prie jau sukurto tunelio ir nepadaro RSA stipresnio už tą patį raktą, kurį sukūrė kita kompetentinga priemonė. Ką jis daro, tai daro darbo eigą audituojamą.

Tai tikra nauda, bet operacinė, o ne kriptografinė.

Sekite vieną nešiojamąjį kompiuterį per registraciją

Naujas nešiojamasis kompiuteris sukuria savo raktą ir pateikia sertifikato užklausą, todėl privatusis raktas niekada nepalieka įrenginio. Leidėjas tada pasirašo tą užklausą tipu, kuris parenka tinkamus plėtinius kliento vaidmeniui. „Easy-RSA“ tai yra ./easyrsa sign-req client laptop-a.

Operatorius vis tiek turi nuspręsti, kad šis žmogus nusipelno prieigos. Nė viena pasirašymo priemonė neišveda teisės iš bendro vardo.

Pasirašytas sertifikatas grįžta į įrenginį, kuriame yra atitinkamas raktas, o VPN diegimas atskirai suteikia serverio pasitikėjimą, tapatybės patikras, tinklo politiką ir paskyros reikalavimus. Failas leidėjo išvesties kataloge nieko to neįrodo. Tai padaro tik užbaigtas rankos paspaudimas.

Sekite tą patį nešiojamąjį kompiuterį išeinant

Pašalinimas yra vieta, kur leidėjo pasirinkimas tikrai matosi. Naudojama darbo eiga identifikuoja sertifikatą, įrašo atšaukimą ir sukuria tai, ko reikia pasitikintiems sistemoms jį atmesti. „Easy-RSA“ atskiria ./easyrsa revoke laptop-a nuo ./easyrsa gen-crl, o antrasis žingsnis yra tas, kurį žmonės pamiršta. CRL generavimas leidėjo pusėje nepristato jo jokiam VPN tikrintojui.

Platinimas, perkrovimo elgsena ir tai, kas nutinka jau sukurtoms sesijoms, yra diegimo sprendimai, o ne įrankio funkcijos.

Ta spraga yra praktinis argumentas už nusistovėjusią darbo eigą prieš krūvą ad hoc openssl komandų. Sunkioji leidėjo valdymo dalis yra ne pirmasis sertifikatas. Tai išdavimo įrašų, atsarginių kopijų, atnaujinimų ir pašalinimų nuoseklumas, kai įrenginiai ateina ir išeina.

Kai leidėjas jau egzistuoja

Jei jūsų organizacija jau valdo patvirtintą sertifikatų tarnybą, registruokitės per ją. Antros CA pastatymas todėl, kad vadove buvo „Easy-RSA“ komandų, sukuria pasitikėjimo platinimo darbą, atsarginių kopijų darbą ir dar vieną dalyką, kurį reikia teisingai atšaukti.

Vietinis leidėjas yra įsipareigojimas valdyti CA, o ne žymimasis langelis sąrankos vadove.

Kada „Easy-RSA“ yra teisingas pasirinkimas

Mažam privačiam diegimui, kuriam tikrai reikia savo leidėjo, „Easy-RSA“ suteikia sutelktą darbo eigą nerenkant kiekvienos operacijos rankomis. originalus „Easy-RSA“ vadovas iš eilės apima užklausos, pasirašymo, atšaukimo ir CRL žingsnius. Laikykite CA pasirašymo medžiagą pas jos paskirtą savininką; klientams reikia savo prisijungimo duomenų ir atitinkamo viešo pasitikėjimo, niekada pasirašymo rakto kopijos.

PIN pagrįstas „OpenVPN“ dizainas yra kita teisėta pasitikėjimo tvarka, o ne sulaužyta PKI, laukianti remonto. Ir prisijungimas prie paskyros nepanaikina poreikio autentifikuoti serverį pagal pasirinktą protokolą.

Atsakykite į keturis klausimus prieš rinkdamiesi: kas patvirtina naują tapatybę, kur gyvena jos privatusis raktas, kaip sertifikatas pasiekia klientą ir kaip išėjusi tapatybė nustoja būti priimama.