Viens sertifikāts vienai ierīcei nesaista atslēgu ar ierīci
Sertifikāts katrai ierīcei ir administratīva izvēle, nevis saistīšana ar ierīci. Saistīšanu nosaka tas, kur atrodas privātā atslēga, no kopējamas datnes līdz TPM.
Jūs izsniedzat atsevišķu sertifikātu katram klēpjdatoram, tāpēc pieņemat, ka VPN tos var atšķirt. Nevar. Klienta sertifikāts pierāda, ka tam, kurš pieslēdzas, ir atbilstošā privātā atslēga, un arī kopētam profilam tā ir.
Sertifikāts katrai ierīcei joprojām ir laba ideja. Tas vienkārši veic citu darbu, nekā vairums cilvēku sagaida.
Ko klienta sertifikāts patiešām pierāda
Rokasspiediena laikā klients parakstās ar privāto atslēgu, kas atbilst tā sertifikātam, un serveris pārbauda šo parakstu pret CA, kurai tas uzticas. Nekas šajā apmaiņā neapraksta mašīnu. Jebkura ierīce, kurai ir gan sertifikāts, gan atslēga, rada identisku parakstu, tāpēc profils, kas nokopēts uz otru klēpjdatoru izskatās tieši tāpat kā oriģināls. Sertifikāts nosauc identitāti; tas nenosauc aparatūru.
Unikalitāte katrai ierīcei joprojām ir tā vērta, jo padara atsaukšanu precīzu. Tā ir administratīva īpašība, nevis tehniska slēdzene.
Trīs atslēgas glabāšanas līmeņi
Pirmais līmenis ir atslēgas datne diskā. Tā pēc konstrukcijas ir pārnēsājama, un tur mīt vairums OpenVPN profilu.
Otrais līmenis ir atslēga, ko operētājsistēma atzīmē kā neeksportējamu. Windows var izveidot ierīces atslēgu savā sertifikātu krātuvē un atteikt parasto eksportu, kas aptur nejaušu kopēšanu. Tā nav aparatūras atbalstīta, un ar pietiekamu piekļuvi mašīnai šādas atslēgas var atgūt, tāpēc tā palielina piepūli, nevis būvē sienu.
Trešais līmenis ir atslēga, kas ģenerēta drošības aparatūras iekšienē: TPM, viedkarte, SIM vai PIV marķieris. Šiem moduļiem nav shēmas, lai eksportētu to ģenerēto atslēgu, un parakstīšana notiek moduļa iekšienē. Atslēga nekad nekļūst par datni, ko kāds var nokopēt.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Šī tabula ir viss arguments trīs rindās.
Ko easy-rsa var un ko nevar
Izsniedzat sertifikātus katrai ierīcei ir vienkārši. Izveidojiet atsevišķu kopēju nosaukumu katrai ierīcei pret to pašu CA, piemēram, ./easyrsa build-client-full laptop-a nopass, un atkārtojiet katrai ierīcei. Pierakstiet, kurš kopējais nosaukums pieder kuram cilvēkam un mašīnai.
Atsaukšana ir tikpat tieša: ./easyrsa revoke laptop-a, ģenerējiet CRL no jauna ar ./easyrsa gen-crl un pārliecinieties, ka serveris to patiešām lasa caur crl-verify.
Ko CA nevar, ir pārbaudīt, kur privātā atslēga atrodas pēc tam. Ja ģenerējat atslēgu CA resursdatorā un kopējat to uz ierīci, izdošanas laikā esat izveidojis otru kopiju. Neeksportējama atslēga ir jāģenerē ierīcē vai jāimportē aparatūrā, kas to neizlaidīs.
Kontroles, kas pārdzīvo nokopētu profilu
Pieņemiet, ka profilu var nokopēt, un projektējiet atbilstoši. Piesaistiet kontu otrajam faktoram, lai ar sertifikātu vien nepietiktu. Dodiet katrai ierīcei savu politiku, lai vienas identitātes tvērums paliktu ierobežots. Un vērojiet to pašu kopējo nosaukumu, kas vienlaikus pieslēdzas no divām adresēm, jo tā kopīgs profils izskatās savienojumu žurnālā.
Ātra, dokumentēta atsaukšana ir tā kontrole, kas joprojām darbojas pēc tam, kad kopija jau ir notikusi. Viss pārējais ir profilakse.
Apgalvojums, uz kuru serveris patiešām var paļauties
Unikalitāte nāk no CA. Saistīšana ar ierīci nāk no atslēgas glabāšanas. Tikai aparatūra, kas nevar eksportēt savu atslēgu, pārvērš vienu sertifikātu vienai ierīcei apgalvojumā, ko serveris īsteno, nevis politikā, ar ko visi piekrīt sekot.