Għandek bżonn Easy-RSA għal OpenVPN? Jiddependi minn min jippossjedi l-CA

Tutorial jgħid biex tinstalla Easy-RSA qabel ma tikkonfigura OpenVPN, allura n-nies jassumu li t-tnejn huma pakkett wieħed. Mhumiex. Easy-RSA hija għodda tal-ġestjoni tal-PKI li tmexxi OpenSSL; OpenVPN huwa l-mina. Waħda tiddeċiedi min għandu jiġi fdati, l-oħra tħaddem il-pakketti.

Il-paragun li jgħodd mhuwiex liema għodda hija aħjar. Imma min jippossjedi l-emittent fl-organizzazzjoni tiegħek.

X’inhi Easy-RSA fil-verità

Il-proġett jiddeskrivi lilu nnifsu bħala għodda tal-ġestjoni tal-PKI X.509, b’OpenSSL tagħmel ix-xogħol kriptografiku. Dan ifisser li tgeżwer il-ġenerazzjoni tal-ċwievet, it-talbiet taċ-ċertifikati, il-politika tal-iffirmar u r-revoka f’qafas ta’ direttorji li jista’ jiġi ripetut. Ma żżidx saff ta’ encryption ma’ mina stabbilita, u ma tagħmilx RSA aktar qawwi mill-istess ċavetta prodotta minn għodda kompetenti oħra. Dak li tagħmel huwa li tagħmel il-fluss tax-xogħol verifikabbli.

Dan huwa benefiċċju reali, iżda operattiv u mhux kriptografiku.

Segwi laptop wieħed mir-reġistrazzjoni

Laptop ġdid jiġġenera ċ-ċavetta tiegħu stess u jibgħat talba għaċ-ċertifikat, allura iċ-ċavetta privata qatt ma titlaq mill-apparat. L-emittent imbagħad jiffirma dik it-talba b’tip li jagħżel l-estensjonijiet it-tajba għal rwol ta’ klijent. Fl-Easy-RSA dan huwa ./easyrsa sign-req client laptop-a.

L-operatur xorta waħda irid jiddeċiedi li din il-persuna ħaqqha aċċess. L-ebda għodda tal-iffirmar ma tislet dritt minn isem komuni.

Iċ-ċertifikat iffirmat jerġa’ lura għand l-apparat li jżomm iċ-ċavetta li taqbel, u l-varar tal-VPN jipprovdi separatament il-fiduċja fis-server, il-verifiki tal-identità, il-politika tan-netwerk u r-rekwiżiti tal-kont. Fajl fid-direttorju tal-output tal-emittent ma jipprova xejn minn dan. Biss handshake komplut jagħmel dan.

Segwi l-istess laptop meta joħroġ

It-tneħħija hija fejn l-għażla tal-emittent tidher tassew. Fluss tax-xogħol użabbli jidentifika ċ-ċertifikat, jirreġistra r-revoka u jipproduċi dak li s-sistemi li jiddependu fuqu jeħtieġu biex jiċħduh. Easy-RSA tifred ./easyrsa revoke laptop-a minn ./easyrsa gen-crl, u t-tieni pass huwa dak li n-nies jinsiew. Il-ġenerazzjoni ta’ CRL fuq l-emittent ma twassalhiex lil ebda verifikatur tal-VPN.

Id-distribuzzjoni, l-imġiba meta jerġa’ jitgħabba u x’jiġri mis-sessjonijiet li diġà stabbiliti huma deċiżjonijiet tal-varar, mhux karatteristiċi tal-għodda.

Dik il-lakuna hija l-argument prattiku għal fluss tax-xogħol stabbilit kontra munzell ta’ kmandi openssl ad hoc. Il-parti diffiċli fit-tmexxija ta’ emittent mhix l-ewwel ċertifikat. Hija li żżomm rekords tal-ħruġ, backups, tiġdid u tneħħija koerenti waqt li l-apparati jiġu u jmorru.

Meta diġà jeżisti emittent

Jekk l-organizzazzjoni tiegħek diġà tmexxi servizz taċ-ċertifikati approvat, irreġistra permezz tiegħu. Li twaqqaf it-tieni CA għax tutorial kien fih kmandi Easy-RSA joħloq xogħol ta’ distribuzzjoni tal-fiduċja, xogħol ta’ backups u t-tieni ħaġa li trid tiġi revokata kif suppost.

Emittent lokali huwa impenn li tmexxi CA, mhux kaxxa tal-verifika fi gwida tal-konfigurazzjoni.

Meta Easy-RSA hija l-għażla t-tajba

Għal varar privat żgħir li verament jeħtieġ l-emittent tiegħu stess, Easy-RSA tagħti fluss tax-xogħol iffukat mingħajr ma tiġbor kull operazzjoni bl-idejn. Il- gwida oriġinali tal-Easy-RSA tkopri l-passi tat-talba, tal-iffirmar, tar-revoka u tas-CRL fl-ordni. Żomm il-materjal tal-iffirmar tas-CA għand is-sid nominat tiegħu; il-klijenti jeħtieġu l-kredenzjali tagħhom u l-fiduċja pubblika rilevanti, qatt kopja taċ-ċavetta tal-iffirmar.

Disinn tal-OpenVPN ibbażat fuq PIN huwa arranġament ieħor leġittimu ta’ fiduċja, mhux PKI mkissra li tistenna tiswija. U l-login tal-kont ma jneħħix il-ħtieġa li s-server jiġi awtentikat taħt kwalunkwe protokoll li għażilt.

Wieġeb erba’ mistoqsijiet qabel tagħżel: min japprova identità ġdida, fejn tgħix iċ-ċavetta privata tagħha, kif iċ-ċertifikat jasal għand il-klijent, u kif identità rtirata tieqaf tiġi aċċettata.