Żomm iċ-ċavetta tal-firma tal-CA tal-OpenVPN barra minn /etc/openvpn

Żewġ direttorji li f’tutorial jidhru simili jagħmlu xogħlijiet kompletament differenti. Wieħed iżomm l-awtorità taċ-ċertifikazzjoni: iċ-ċavetta privata tagħha, il-kontatur tan-numri tas-serje u r-rekord ta’ kull ma ffirmat. L-ieħor iżomm dak li d-daemon jeħtieġ biex jibda u jservi l-klijenti. It-tqegħid tat-tnejn fuq l-istess host taħt l-istess kont huwa konvenjenti għal wara nofsinhar u għali għall-bqija tal-ħajja tad-deployment, għax id-daemon imbagħad imur ħdejn l-unika ċavetta li tista’ toħloq kwalunkwe identità li trid.

X’fih l-ispazju tax-xogħol tas-CA

Direttorju PKI huwa stat tal-emittent, mhux konfigurazzjoni. Fih iċ-ċavetta privata u ċ-ċertifikat tas-CA, fajl tan-numru tas-serje, indiċi taċ-ċertifikati maħruġa u l-materjal għal kull identità li ġie prodott minnhom.

L-iffirmar ta’ talba jibdel dak l-istat, u għalhekk l-ispazju tax-xogħol jappartjeni lil kont ikkontrollat mill-amministratur fuq host fejn is-servizz tal-VPN ma jaħdimx. Kull min jista’ jaqra ċ-ċavetta privata tas-CA jista’ joħroġ ċertifikat li s-server se jafda, għalhekk il-protezzjoni taċ-ċavetta hija l-mudell kollu tal-fiduċja f’fajl wieħed. Li tikkupjaha f’post ieħor biex tiffranka pass joħloq it-tieni ħaġa x’tipproteġi u it-tieni ħaġa x’tinsa. Kull firma wkoll iżżid in-numru tas-serje u żżid entrata mal-indiċi, u għalhekk l-ispazju tax-xogħol huwa kopja waħda tal-istat u mhux folder ta’ fajls.

Iċ-ċertifikat pubbliku tas-CA huwa differenti. Huwa maħsub biex jiġi distribwit, u huwa dak li l-klijenti u s-servers jużaw biex jivverifikaw lil xulxin.

X’jaqra d-daemon meta jibda

Server li qed jaħdem jikkonsma sett żgħir: iċ-ċertifikat tiegħu stess, iċ-ċavetta privata tiegħu stess, iċ-ċertifikat tas-CA biex jivverifika l-peers u kwalunkwe materjal taċ-ċwievet li teħtieġ il-modalità magħżula tiegħu. Huwa jaqra dawk il-mogħdijiet fil-bidu u għal darb’oħra meta jerġa’ jitgħabba.

Is-sjieda trid tiġi evalwata kontra l-unità li fil-fatt tniedi, mhux kontra shell root interattiv. Sandboxing iddikjarat jista’ jagħmel parti mis-sistema tal-fajls biss taqra jew inviżibbli anki meta test manwali bħala root jirnexxi.

systemctl show -p User -p Group -p ReadOnlyPaths [email protected]
stat -c '%a %U:%G' /etc/openvpn/server/server.key
runuser -u openvpn -- test -r /etc/openvpn/server/server.key; echo $?

It-tielet linja hija dik li n-nies jaqbżu. Hija tistaqsi lill-kont tad-daemon stess jekk jistax jaqra ċ-ċavetta, u dik hija l-unika verżjoni tal-mistoqsija li tgħodd ladarba l-privileġġi jkunu ntilfu. Ħruġ ta’ żero bħala root ma jgħid xejn dwar dak li jiġri wara t-telf.

Iż-żewġ mogħdijiet tal-ħsara jixirqilhom jiġu separati qabel ma tibdel kwalunkwe permess. Ħsara fil-firma tipponta lejn id-direttorju PKI, il-permess tat-tfittxija fid-direttorji ġenituri tiegħu u l-kont li jmexxi l-emittent. Ħsara fil-bidu tipponta lejn l-unità, id-direttorju tax-xogħol tagħha u l-mogħdijiet imsemmija fil-konfigurazzjoni tas-server. Li tagħmel is-siġra kollha tinqara minn kulħadd ma ssewwi l-ebda waħda minnhom, u tneħħi l-konfini li t-tnejn jiddependu minnha.

Għaliex l-ikkupjar taċ-ċavetta tas-CA lis-server jonqos aktar tard

Il-kopja normalment tibda bħala mossa ta’ debug: xi ħadd irid iġedded klijent fuq il-host tal-VPN, għalhekk iċ-ċavetta tas-CA tispiċċa fi /etc/openvpn u t-tiġdid jaħdem. Il-kompitu immedjat jirnexxi, u l-konfini spiċċa.

Imbagħad is-server jiġi backupjat, u l-awtorità tal-firma tingħaqad mal-backups. Snapshot, bundle ta’ appoġġ jew kopja tad-direttorju tal-konfigurazzjoni issa jġorru l-abbiltà li joħorġu identitajiet fdati sakemm is-CA tkun valida. Kull min għandu dik il-kopja jista’ joħloq ċertifikat għal kwalunkwe isem li s-server jaċċetta, inklużi ismijiet li qatt ma nħarġu. L-uniku rekord ta’ dak il-ħruġ huwa dak li jagħżlu li jżommu.

L-irkupru minn dak l-istat mhuwiex kwistjoni ta’ tħassir ta’ fajl. Trid tiddeċiedi jekk iċ-ċavetta kinitx esposta, iddawwar is-CA jekk kienet, u tqassam mill-ġdid il-fiduċja lil kull peer. Spazju tax-xogħol separat jevita l-konversazzjoni kollha.

Kontijiet, direttorji, backups

Agħti lill-emittent il-kont u d-direttorju tad-dar tiegħu stess, imżomm ’il bogħod mill-host tal-VPN fejn hu prattiku. Agħti lid-daemon kont differenti, b’aċċess ta’ qari għall-materjal imqiegħed u aċċess ta’ kitba għal xejn li joħroġ ċertifikati. Iddeploja billi tikkupja ċertifikati pubbliċi ’l barra u qatt billi tiġbed stat privat tal-emittent ’il ġewwa. Agħmel backups taż-żewġ rwoli separatament, għax is-sensittività tagħhom u l-istejjer tal-irkupru tagħhom huma differenti.

Wara revoka, aġġorna l-fajl CRL li jismi l-konfigurazzjoni tas-server, imbagħad erġa’ għabbi s-servizz sabiex konnessjonijiet ġodda jaqrawh. Id-dokumentazzjoni Easy-RSA tkopri t-tqassim tal-ispazju tax-xogħol u l-fluss tal-firma; ir-regoli tas-sjieda madwaru jibqgħu deċiżjoni dwar il-host tiegħek. Ivverifika dak li għabba s-servizz bl-użu ta’ openssl crl -in /etc/openvpn/crl.pem -noout -lastupdate -nextupdate minflok ma tassumi li t-tagħbija mill-ġdid ħaditu.

Test li jipprova s-separazzjoni

Iċċekkja l-każ negattiv, mhux biss dak li jaħdem. Iffirma ċertifikat mill-kont tal-emittent kif iddisinjat, imbagħad ikkonferma li l-istess kont ma jistax jibda s-servizz jew jaqra ċ-ċavetta privata tas-server. Imbagħad ikkonferma li l-kont tad-daemon ma jistax jaqra ċ-ċavetta privata tas-CA.

Dawk it-tliet kontrolli jieħdu ftit minuti u jgħaddu minn bidliet fil-persunal, għax huma dikjarazzjonijiet dwar permessi u mhux dwar drawwa. Ikteb ir-riżultat bil-mogħdijiet u l-kontijiet li kopra, flimkien mad-data li fiha ġarrejthom. Il-persuna li jmiss li tiret dan id-deployment inkella terġa’ tislet il-konfini minn tutorial li qatt ma kellu wieħed. Rekord bid-data huwa wkoll dak li jagħmel ir-reviżjoni li jmiss tieħu minuti minflok wara nofsinhar.