Uża l-CA tal-intrapriża eżistenti tiegħek għall-pari ta' OpenVPN

Xejn ġewwa OpenVPN ma jeħtieġx li ċ-ċertifikat jiġi minn Easy-RSA, u flotta li diġà għandha PKI organizzattiva normalment m'għandhiex tibni t-tieni waħda. Ix-xogħol veru mhuwiex li tagħżel għodda, iżda li tiddeċiedi x'jifsru l-identitajiet maħruġa, liema pari t-tunnel taċċetta u kif it-tiġdid u r-revoka jaslu għand il-verifikatur. Għaddi mill-ħames passi hawn taħt fl-ordni, għax pass aktar tard ma jistax isewwi deċiżjoni dwar ir-rwol meħuda fl-ewwel wieħed.

Ħareġ żewġ rwoli minflok identità waħda kondiviża

Kull par jeħtieġ iċ-ċertifikat tiegħu stess u ċ-ċavetta privata li taqbel miegħu. Itlob lill-tim PKI għal identità ta' server b'użu ta' server u identitajiet ta' klijent separati b'użu ta' klijent, sabiex it-tunnel jista' jiddistingwihom waqt il-handshake.

Irreżisti l-qosor li jidhru taħt pressjoni tal-iskadenzi. Ċavetta ta' server web ikkupjata fuq laptops tħassar id-distinzjoni li fuqha tiddependi l-verifika tar-rwol, u ċavetta tal-firma tas-CA installata fuq punt aħħari tal-VPN iddawwar host kompromess f'ġerarkija kompromessa. Pakkett PKCS12 jista' jġorr ċavetta tal-punt aħħari u l-katina tagħha, iżda qatt ma jagħti permess biex dik l-identità terġa' tintuża fi rwol ieħor.

Qabbad l-inputs tal-fiduċja fuq kull naħa

Il-klijent u s-server jeħtieġu kull wieħed ankra tal-fiduċja, l-identità tiegħu stess u aspettattiva tar-rwol espliċita. Framment tal-klijent li jgħid it-tlieta jidher hekk.

client
ca /etc/openvpn/pki/issuing-root.pem
cert /etc/openvpn/pki/device-17.crt
key /etc/openvpn/pki/device-17.key
remote-cert-tls server
verify-x509-name vpn.corp.example name
crl-verify /etc/openvpn/pki/issuing.crl

In-naħa tas-server tirriflettih b'remote-cert-tls client u ċ-ċertifikat tiegħu stess, u dan huwa dak li jżomm ċertifikat tal-klijent milli jiġi aċċettat bħala server. Il-verifika tal-isem hija deċiżjoni separata mill-verifika tar-rwol. Aqra l-konfigurazzjoni installata biex tara liema qasam jiġi mqabbel minflok tassumi qbil tal-isem tal-host bl-istil tal-browser. Iż-żewġ naħat għandhom ukoll ikunu espliċiti dwar liema emittenti jafdaw, għax triq tal-fajl kondiviża madwar il-flotta mhijiex l-istess ħaġa bħala politika kondiviża.

Wassal ċertifikati intermedji mingħajr ma twessa' l-fiduċja

Iż-żewġ naħat m'għandhomx għalfejn jaqsmu katina waħda tal-ħruġ. Meta par jippreżenta ċertifikat iffirmat minn intermedju, in-naħa li tivverifika teħtieġ dak l-intermedju disponibbli, u OpenVPN jiddistingwi l-input tal-ankra tal-fiduċja miċ-ċertifikati addizzjonali użati biex titlesta katina ppreżentata lokalment. Ir-referenza tal-għażliet TLS ta' OpenVPN 2.6 tiddokumenta t-tnejn.

CA intermedju mhuwiex problema fih innifsu, iżda għerq tal-intrapriża wiesa' mormi fil-pakkett tal-fiduċja huwa problema. Iktar ma tkun wiesgħa l-ankra, iktar ċertifikati jgħaddu mit-test tal-katina, u verifika tar-rwol ma ddawwarx dan f'lista ta' persunal awtorizzat. Issikka l-ankra għall-emittenti li tassew jiffirma l-identitajiet tal-VPN fejn il-ġerarkija tippermetti. Jekk ma tippermettix, iddokumenta l-ankra iktar wiesgħa bħala riskju aċċettat apposta minflok tħallih impliċitu.

Ittieħed qbil mat-tim PKI dwar kif it-tiġdid u r-revoka jaslu għand il-verifikaturi tal-VPN, inkluż liema emittenti jimpurtaw u min jippubblika l-lista. Punt ta' distribuzzjoni CRL inkorporat f'ċertifikat huwa struzzjoni, mhux prova li xi ħaġa ġabitu.

Iddeċiedi kif ir-revoka tassew tasal

crl-verify iġiegħel lill-verifikatur jikkonsulta fajl jew punt aħħari, u dan l-arranġament jeħtieġ sid u triq tal-aġġornament. Lista ikkupjata darba waqt l-iskjerament tieqaf bil-kwiet tipproteġik l-ewwel darba li ċertifikat jiġi revokat.

Ikteb il-ħin ta' propagazzjoni mistenni u ppruvah b'ċertifikat li int lest li tirrevoka. Jekk il-lista ma tistax tiġi aġġornata fuq il-host tal-VPN, l-alternattiva hija perjodu ta' validità iqsar flimkien ma' proċess ta' tiġdid li tassew jaħdem, mhux suppożizzjoni li r-revoka taħdem għax teżisti URL.

Ipprova l-aċċettazzjoni b'klijent reali

Qabbad klijent li għandu jiġi permess u kkonferma d-dettalji taċ-ċertifikat negozjat fil-log. Imbagħad ipprova l-każijiet li għandhom jonqsu: ċertifikat tal-klijent ippreżentat bħala server, ċertifikat minn emittenti barra mill-ankra tal-fiduċja, u ċertifikat revokat jekk għandek wieħed żejjed.

Irreġistra l-emittenti aċċettat, il-verifika tar-rwol u s-sors tar-revoka ħdejn il-profil. Dik ir-reġistrazzjoni hija dak li jeħtieġ l-inġinier li jmiss meta apparat li ħadem ix-xahar li għadda jieqaf jgħaqqad, u hija wkoll il-prova li l-CA tal-intrapriża qed tintuża fi ħdan konfini ta' aċċettazzjoni dokumentati u mhux bħala miżbla tal-fiduċja għal skop ġenerali.