Izmantojiet esošo uzņēmuma CA OpenVPN vienaudžiem

Nekas OpenVPN vidē neprasa, lai sertifikāts nāktu no Easy-RSA, un parkam, kuram jau ir organizatoriska PKI, parasti nevajadzētu būvēt otru. Īstais darbs nav rīka izvēle, bet gan lēmums par to, ko nozīmē izsniegtās identitātes, kurus vienaudžus tunelis pieņem un kā atjaunošana un atsaukšana nonāk pie pārbaudītāja. Iziet cauri pieciem turpmāk minētajiem soļiem secībā, jo vēlāks solis nevar salabot pirmajā pieņemto lomas lēmumu.

Izsniedziet divas lomas vienas kopīgas identitātes vietā

Katram vienaudzim ir vajadzīgs savs sertifikāts un atbilstoša privātā atslēga. Lūdziet PKI komandai servera identitāti ar servera lietojumu un atsevišķas klienta identitātes ar klienta lietojumu, lai tunelis rokasspiediena laikā varētu tās atšķirt.

Pretojieties saīsinājumiem, kas parādās termiņu spiediena laikā. Tīmekļa servera atslēgas kopēšana uz portatīvajiem datoriem izdzēš atšķirību, uz kuras balstās lomas pārbaude, un VPN galapunktā instalēta CA parakstīšanas atslēga vienu kompromitētu resursdatoru pārvērš kompromitētā hierarhijā. PKCS12 pakotne var pārnēsāt galapunkta atslēgu un tās ķēdi, bet tā nekad nepiešķir atļauju atkārtoti izmantot šo identitāti citā lomā.

Pievienojiet uzticības ievades katrā pusē

Klientam un serverim katram ir vajadzīgs uzticības enkurs, sava identitāte un skaidra lomas gaidīšana. Klienta fragments, kurā norādīti visi trīs, izskatās šādi.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

Servera puse to atspoguļo ar remote-cert-tls client un savu sertifikātu, un tieši tas neļauj klienta sertifikātu pieņemt kā serveri. Nosaukuma pārbaude ir atsevišķs lēmums no lomas pārbaudes. Lasiet izvietoto konfigurāciju, lai redzētu, kurš lauks tiek salīdzināts, nevis pieņemiet pārlūka stila resursdatora nosaukuma atbilstību. Abām pusēm arī skaidri jānorāda, kuram izdevējam tās uzticas, jo kopīgs faila ceļš visā parkā nav tas pats, kas kopīga politika.

Piegādājiet starpposma sertifikātus, nepaplašinot uzticību

Abām pusēm nav jākopīgo viena izsniegšanas ķēde. Kad vienaudzis uzrāda starpposma parakstītu sertifikātu, pārbaudošajai pusei ir vajadzīgs šis starpposms pieejams, un OpenVPN atšķir uzticības enkura ievadi no papildu sertifikātiem, kas tiek izmantoti, lai pabeigtu lokāli uzrādītu ķēdi. OpenVPN 2.6 TLS opciju uzziņa dokumentē abus.

Starpposma CA pats par sevi nav problēma, bet uzticības kopā iemests plašs uzņēmuma saknes sertifikāts ir. Jo plašāks enkurs, jo vairāk sertifikātu iztur ķēdes testu, un lomas pārbaude to nepārvērš pilnvarotu darbinieku sarakstā. Sašauriniet enkuru līdz izdevējam, kas faktiski paraksta VPN identitātes, kur hierarhija to ļauj. Ja neļauj, dokumentējiet plašāko enkuru kā apzināti pieņemtu risku, nevis atstājiet to netiešu.

Vienojieties ar PKI komandu par to, kā atjaunošana un atsaukšana nonāk pie VPN pārbaudītājiem, tostarp kuri izdevēji ir svarīgi un kas publicē sarakstu. Sertifikātā iegults CRL izplatīšanas punkts ir norādījums, nevis pierādījums, ka kāds to ir ieguvis.

Izlemiet, kā atsaukšana faktiski ierodas

crl-verify liek pārbaudītājam konsultēties ar failu vai galapunktu, un šādam izkārtojumam ir vajadzīgs īpašnieks un atjaunināšanas ceļš. Saraksts, kas izvietošanas laikā tiek nokopēts vienreiz, klusi pārstāj jūs aizsargāt, pirmo reizi atsaucot sertifikātu.

Pierakstiet gaidīto izplatīšanās laiku un pārbaudiet to ar sertifikātu, kuru esat gatavs atsaukt. Ja sarakstu nevar atjaunināt VPN resursdatorā, alternatīva ir īsāks derīguma termiņš un atjaunošanas process, kas faktiski darbojas, nevis pieņēmums, ka atsaukšana darbojas tāpēc, ka pastāv URL.

Pierādiet pieņemšanu ar īstu klientu

Pievienojiet klientu, kuram vajadzētu tikt atļautam, un apstipriniet žurnālā sarunāto sertifikāta informāciju. Pēc tam izmēģiniet gadījumus, kuriem jācieš neveiksme: klienta sertifikāts, kas uzrādīts kā serveris, sertifikāts no izdevēja ārpus uzticības enkura, un atsaukts sertifikāts, ja jums tāds ir lieks.

Pierakstiet pieņemto izdevēju, lomas pārbaudi un atsaukšanas avotu blakus profilam. Šis ieraksts ir tas, kas vajadzīgs nākamajam inženierim, kad ierīce, kas darbojās pagājušajā mēnesī, pārstāj savienoties, un tas ir arī pierādījums, ka uzņēmuma CA tiek izmantots dokumentētā pieņemšanas robežā, nevis kā vispārējas nozīmes uzticības izgāztuve.