Treng du Easy-RSA for OpenVPN? Det kjem an på kven som eig CA-en

Ei rettleiding seier at du skal installere Easy-RSA før du set opp OpenVPN, så folk trur dei to høyrer saman. Det gjer dei ikkje. Easy-RSA er eit PKI-administrasjonsverkty som styrer OpenSSL; OpenVPN er tunnelen. Den eine avgjer kven som skal få tillit, den andre flyttar pakkar.

Samanlikninga som tel, er ikkje kva verkty som er best. Det er kven som eig utgivaren i organisasjonen din.

Kva Easy-RSA eigentleg er

Prosjektet skildrar seg sjølv som eit PKI-administrasjonsverkty for X.509, der OpenSSL gjer det kryptografiske arbeidet. Det tyder at det pakkar nøkkelgenerering, sertifikatførespurnader, signeringspolitikk og tilbakekalling inn i eit repeterbart mappelayout. Det legg ikkje til eit krypteringslag på ein etablert tunnel, og det gjer ikkje RSA sterkare enn den same nøkkelen som eit anna kompetent verkty har laga. Det det gjer, er å gjere arbeidsflyten reviderbar.

Det er ein reell fordel, men ein driftsfordel snarare enn ein kryptografisk.

Følg éin berbar PC gjennom registreringa

Ein ny berbar PC genererer sin eigen nøkkel og sender inn ein sertifikatførespurnad, slik at den private nøkkelen aldri forlèt eininga. Utgivaren signerer deretter førespurnaden med ein type som vel dei rette utvidingane for ei klientrolle. I Easy-RSA er det ./easyrsa sign-req client laptop-a.

Operatøren må framleis avgjere at denne personen fortener tilgang. Ingen signeringsverkty utleier rettar frå eit vanleg namn.

Det signerte sertifikatet går tilbake til eininga som har den samsvarande nøkkelen, og VPN-utrullinga leverer separat tenartillit, identitetskontrollar, nettverkspolitikk og kontokrav. Ei fil i utdatamappa til utgivaren provar ingenting av dette. Berre eit fullført handtrykk gjer det.

Følg den same berbare PC-en ut

Fjerning er der valet av utgivar verkeleg syner seg. Ein brukbar arbeidsflyt identifiserer sertifikatet, registrerer tilbakekallinga og produserer det systema som stolar på det treng for å avvise det. Easy-RSA skil ./easyrsa revoke laptop-a frå ./easyrsa gen-crl, og det andre trinnet er det folk gløymer. Å generere ein CRL hos utgivaren leverer han ikkje til nokon VPN-verifiserar.

Distribusjon, åtferd ved omlasting og kva som skjer med økter som alt er etablerte, er utrullingsavgjerder, ikkje verktyfunksjonar.

Det gapet er det praktiske argumentet for ein etablert arbeidsflyt framfor ein haug med ad hoc openssl-kommandoar. Den vanskelege delen med å drive ein utgivar er ikkje det første sertifikatet. Det er å halde utsendingsregister, tryggleikskopiar, fornyingar og fjerningar samanhengande medan einingar kjem og går.

Når det alt finst ein utgivar

Viss organisasjonen din alt driv ein godkjend sertifikatteneste, registrer deg gjennom han. Å reise ein ny CA fordi ei rettleiding inneheldt Easy-RSA-kommandoar skapar arbeid med tillitsdistribusjon, arbeid med tryggleikskopiar og éin ting til som må tilbakekallast rett.

Ein lokal utgivar er ei forplikting til å drive ein CA, ikkje ein avkryssingsboks i ei oppsett rettleiding.

Når Easy-RSA er det rette valet

For ei lita privat utrulling som verkeleg treng sin eigen utgivar, gir Easy-RSA ein fokusert arbeidsflyt utan å setje saman kvar operasjon for hand. Den opphavlege Easy-RSA-rettleidinga dekkjer trinna førespurnad, signering, tilbakekalling og CRL i rekkjefølgje. Oppbevar CA-signeringsmaterialet hos sin utpeikte eigar; klientar treng eigne påloggingsdata og den relevante offentlege tillita, aldri ein kopi av signeringsnøkkelen.

Ein PIN-basert OpenVPN-design er ei anna legitim tillitsordning, ikkje ein øydelagd PKI som ventar på reparasjon. Og kontopålogging fjernar ikkje behovet for å autentisere tenaren under den protokollen du valde.

Svar på fire spørsmål før du vel: kven godkjenner ein ny identitet, kvar bur den private nøkkelen hans, korleis når sertifikatet klienten, og korleis sluttar ein pensjonert identitet å bli godteken.