Satu sijil bagi setiap peranti tidak mengikat kunci pada peranti
Sijil bagi setiap peranti ialah pilihan pentadbiran, bukan pengikatan kepada peranti. Yang menentukan pengikatan ialah tempat kunci persendirian berada, daripada fail yang boleh disalin hingga TPM.
Anda mengeluarkan sijil berasingan untuk setiap komputer riba, jadi anda menganggap VPN boleh membezakannya. Ia tidak boleh. Sijil klien membuktikan bahawa sesiapa yang bersambung memiliki kunci persendirian yang sepadan, dan profil yang disalin juga memilikinya.
Sijil bagi setiap peranti masih idea yang baik. Ia hanya melakukan kerja yang berbeza daripada yang dijangka oleh kebanyakan orang.
Apa yang sebenarnya dibuktikan oleh sijil klien
Semasa jabat tangan, klien menandatangani dengan kunci persendirian yang sepadan dengan sijilnya, dan pelayan mengesahkan tandatangan itu terhadap CA yang dipercayainya. Tiada apa-apa dalam pertukaran itu yang menerangkan mesin. Mana-mana peranti yang memegang kedua-dua sijil dan kunci menghasilkan tandatangan yang sama, jadi profil yang disalin ke komputer riba kedua kelihatan sama seperti yang asal. Sijil menamakan identiti; ia tidak menamakan perkakasan.
Keunikan bagi setiap peranti masih berbaloi, kerana ia menjadikan pembatalan tepat. Ia sifat pentadbiran, bukan kunci teknikal.
Tiga tahap penyimpanan kunci
Tahap pertama ialah fail kunci pada cakera. Ia mudah alih secara reka bentuk, dan di situlah kebanyakan profil OpenVPN berada.
Tahap kedua ialah kunci yang ditandakan oleh sistem pengendalian sebagai tidak boleh dieksport. Windows boleh menjana kunci peranti dalam stor sijilnya dan menolak eksport biasa, yang menghalang salinan secara kebetulan. Ia tidak disokong perkakasan, dan dengan akses yang mencukupi kepada mesin, kunci sedemikian boleh dipulihkan, jadi ia menambah usaha dan bukan membina dinding.
Tahap ketiga ialah kunci yang dijana di dalam perkakasan keselamatan: TPM, kad pintar, SIM atau token PIV. Modul itu tidak mempunyai litar untuk mengeksport kunci yang dijananya, dan penandatanganan berlaku di dalam modul. Kunci itu tidak pernah menjadi fail yang boleh disalin oleh sesiapa.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Jadual itu ialah keseluruhan hujah dalam tiga baris.
Apa yang boleh dan tidak boleh dilakukan oleh easy-rsa
Mengeluarkan sijil bagi setiap peranti adalah mudah. Cipta nama umum yang berbeza bagi setiap peranti terhadap CA yang sama, contohnya ./easyrsa build-client-full laptop-a nopass, dan ulangi untuk setiap peranti. Catat nama umum mana milik orang dan mesin yang mana.
Pembatalan juga sama langsung: ./easyrsa revoke laptop-a, jana semula CRL dengan ./easyrsa gen-crl, dan pastikan pelayan benar-benar membacanya melalui crl-verify.
Apa yang CA tidak boleh lakukan ialah mengesahkan di mana kunci persendirian berada selepas itu. Jika anda menjana kunci pada hos CA dan menyalinnya ke peranti, anda telah mencipta salinan kedua semasa pengeluaran. Kunci yang tidak boleh dieksport mesti dijana pada peranti, atau diimport ke perkakasan yang tidak akan melepaskannya.
Kawalan yang bertahan apabila profil disalin
Anggap profil boleh disalin dan reka bentuklah dengan itu. Ikat akaun kepada faktor kedua supaya sijil sahaja tidak mencukupi. Beri setiap peranti dasarnya sendiri supaya jangkauan satu identiti kekal terhad. Dan perhatikan nama umum yang sama bersambung dari dua alamat serentak, kerana begitulah rupa profil yang dikongsi dalam log sambungan.
Pembatalan yang pantas dan terdokumentasi ialah kawalan yang masih berfungsi selepas salinan berlaku. Segala-galanya ialah pencegahan.
Dakwaan yang benar-benar boleh diharapkan oleh pelayan
Keunikan datang daripada CA. Pengikatan kepada peranti datang daripada penyimpanan kunci. Hanya perkakasan yang tidak boleh mengeksport kuncinya menjadikan satu sijil bagi setiap peranti sebagai dakwaan yang dikuatkuasakan oleh pelayan, bukannya dasar yang semua orang bersetuju untuk ikuti.