Trenger du Easy-RSA for OpenVPN? Det kommer an på hvem som eier CA-en

En veiledning sier at du skal installere Easy-RSA før du setter opp OpenVPN, så folk antar at de to hører sammen. Det gjør de ikke. Easy-RSA er et PKI-administrasjonsverktøy som styrer OpenSSL; OpenVPN er tunnelen. Den ene bestemmer hvem som skal betros, den andre flytter pakker.

Sammenligningen som betyr noe, er ikke hvilket verktøy som er best. Det er hvem som eier utstederen i organisasjonen din.

Hva Easy-RSA faktisk er

Prosjektet beskriver seg selv som et PKI-administrasjonsverktøy for X.509, der OpenSSL gjør det kryptografiske arbeidet. Det betyr at det pakker nøkkelgenerering, sertifikatforespørsler, signeringspolicy og tilbakekalling inn i et repeterbart mappelayout. Det legger ikke til et krypteringslag på en etablert tunnel, og det gjør ikke RSA sterkere enn den samme nøkkelen som et annet kompetent verktøy har laget. Det det gjør, er å gjøre arbeidsflyten reviderbar.

Det er en reell fordel, men en driftsfordel snarere enn en kryptografisk.

Følg én bærbar PC gjennom registreringen

En ny bærbar PC genererer sin egen nøkkel og sender inn en sertifikatforespørsel, slik at den private nøkkelen aldri forlater enheten. Utstederen signerer deretter forespørselen med en type som velger de riktige utvidelsene for en klientrolle. I Easy-RSA er det ./easyrsa sign-req client laptop-a.

Operatøren må fortsatt avgjøre at denne personen fortjener tilgang. Ingen signeringsverktøy utleder rettigheter fra et vanlig navn.

Det signerte sertifikatet går tilbake til enheten som har den samsvarende nøkkelen, og VPN-utrullingen leverer separat servertillit, identitetskontroller, nettverkspolicy og kontokrav. En fil i utstederens utdatamappe beviser ingenting av dette. Bare et fullført håndtrykk gjør det.

Følg den samme bærbare PC-en ut

Fjerning er der valget av utsteder virkelig vises. En brukbar arbeidsflyt identifiserer sertifikatet, registrerer tilbakekallingen og produserer det systemene som stoler på det trenger for å avvise det. Easy-RSA skiller ./easyrsa revoke laptop-a fra ./easyrsa gen-crl, og det andre trinnet er det folk glemmer. Å generere en CRL hos utstederen leverer den ikke til noen VPN-verifiserer.

Distribusjon, oppførsel ved omlasting og hva som skjer med økter som allerede er etablert, er utrullingsbeslutninger, ikke verktøyfunksjoner.

Det gapet er det praktiske argumentet for en etablert arbeidsflyt fremfor en haug med ad hoc openssl-kommandoer. Den vanskelige delen med å drive en utsteder er ikke det første sertifikatet. Det er å holde utstedelsesregistre, sikkerhetskopier, fornyelser og fjerninger sammenhengende mens enheter kommer og går.

Når det allerede finnes en utsteder

Hvis organisasjonen din allerede driver en godkjent sertifikattjeneste, registrer deg gjennom den. Å reise en ny CA fordi en veiledning inneholdt Easy-RSA-kommandoer skaper arbeid med tillitsdistribusjon, arbeid med sikkerhetskopier og én ting til som må tilbakekalles riktig.

En lokal utsteder er en forpliktelse til å drive en CA, ikke en avkrysningsboks i en oppsettsveiledning.

Når Easy-RSA er det riktige valget

For en liten privat utrulling som virkelig trenger sin egen utsteder, gir Easy-RSA en fokusert arbeidsflyt uten å sette sammen hver operasjon for hånd. Den opprinnelige Easy-RSA-veiledningen dekker trinnene forespørsel, signering, tilbakekalling og CRL i rekkefølge. Oppbevar CA-signeringsmaterialet hos sin utpekte eier; klienter trenger egne påloggingsdata og den relevante offentlige tilliten, aldri en kopi av signeringsnøkkelen.

En PIN-basert OpenVPN-design er en annen legitim tillitsordning, ikke en ødelagt PKI som venter på reparasjon. Og kontopålogging fjerner ikke behovet for å autentisere serveren under den protokollen du valgte.

Svar på fire spørsmål før du velger: hvem godkjenner en ny identitet, hvor bor dens private nøkkel, hvordan når sertifikatet klienten, og hvordan slutter en pensjonert identitet å bli akseptert.