Czy potrzebujesz Easy-RSA do OpenVPN? To zależy, kto posiada CA

Poradnik mówi, aby zainstalować Easy-RSA przed skonfigurowaniem OpenVPN, więc ludzie zakładają, że oba stanowią jeden pakiet. Nie stanowią. Easy-RSA to narzędzie do zarządzania PKI, które steruje OpenSSL; OpenVPN to tunel. Jedno decyduje, komu zaufać, drugie przenosi pakiety.

Ważne porównanie nie dotyczy tego, które narzędzie jest lepsze. Chodzi o to, kto w twojej organizacji posiada wystawcę.

Czym naprawdę jest Easy-RSA

Projekt opisuje siebie jako narzędzie do zarządzania PKI X.509, w którym pracę kryptograficzną wykonuje OpenSSL. Oznacza to, że opakowuje generowanie kluczy, wnioski o certyfikaty, politykę podpisywania i unieważnianie w powtarzalny układ katalogów. Nie dodaje warstwy szyfrowania do istniejącego tunelu i nie czyni RSA silniejszym niż ten sam klucz wytworzony przez inne kompetentne narzędzie. Robi natomiast jedną rzecz: czyni przepływ pracy audytowalnym.

To realna korzyść, ale operacyjna, a nie kryptograficzna.

Prześledź jeden laptop przez rejestrację

Nowy laptop generuje własny klucz i składa wniosek o certyfikat, więc klucz prywatny nigdy nie opuszcza urządzenia. Wystawca podpisuje następnie ten wniosek typem, który wybiera właściwe rozszerzenia dla roli klienta. W Easy-RSA to jest ./easyrsa sign-req client laptop-a.

Operator nadal musi zdecydować, że ta osoba zasługuje na dostęp. Żadne narzędzie podpisujące nie wywodzi uprawnienia z nazwy zwyczajowej.

Podpisany certyfikat wraca na urządzenie przechowujące pasujący klucz, a wdrożenie VPN osobno zapewnia zaufanie do serwera, kontrole tożsamości, politykę sieciową i wymagania konta. Plik w katalogu wyjściowym wystawcy niczego z tego nie dowodzi. Robi to tylko ukończony uścisk dłoni.

Prześledź ten sam laptop przy odejściu

Usuwanie to miejsce, w którym wybór wystawcy naprawdę widać. Użyteczny przepływ pracy identyfikuje certyfikat, rejestruje unieważnienie i tworzy to, czego potrzebują systemy polegające na certyfikacie, aby go odrzucić. Easy-RSA rozdziela ./easyrsa revoke laptop-a od ./easyrsa gen-crl, a drugi krok jest tym, o którym ludzie zapominają. Wygenerowanie CRL u wystawcy nie dostarcza go żadnemu weryfikatorowi VPN.

Dystrybucja, zachowanie przy ponownym ładowaniu i to, co dzieje się z już ustanowionymi sesjami, to decyzje wdrożeniowe, a nie funkcje narzędzia.

Ta luka jest praktycznym argumentem za ustalonym przepływem pracy zamiast stosu doraźnych poleceń openssl. Trudna część prowadzenia wystawcy to nie pierwszy certyfikat. To utrzymywanie spójności rejestrów wydań, kopii zapasowych, odnowień i usunięć, gdy urządzenia przychodzą i odchodzą.

Gdy wystawca już istnieje

Jeśli twoja organizacja prowadzi już zatwierdzoną usługę certyfikatów, zarejestruj się przez nią. Postawienie drugiego CA tylko dlatego, że poradnik zawierał polecenia Easy-RSA, tworzy pracę przy dystrybucji zaufania, pracę przy kopiach zapasowych i drugą rzecz, którą trzeba poprawnie unieważnić.

Lokalny wystawca to zobowiązanie do prowadzenia CA, a nie pole wyboru w instrukcji konfiguracji.

Kiedy Easy-RSA to właściwy wybór

Dla małego prywatnego wdrożenia, które naprawdę potrzebuje własnego wystawcy, Easy-RSA daje skupiony przepływ pracy bez składania każdej operacji ręcznie. oryginalny poradnik Easy-RSA omawia kroki wniosku, podpisu, unieważnienia i CRL po kolei. Trzymaj materiał do podpisywania CA u jego wyznaczonego właściciela; klienci potrzebują własnych poświadczeń i odpowiedniego zaufania publicznego, nigdy kopii klucza podpisującego.

Projekt OpenVPN oparty na PIN to inne uzasadnione rozwiązanie zaufania, a nie zepsute PKI czekające na naprawę. A logowanie do konta nie usuwa potrzeby uwierzytelnienia serwera w ramach wybranego protokołu.

Odpowiedz na cztery pytania przed wyborem: kto zatwierdza nową tożsamość, gdzie mieszka jej klucz prywatny, jak certyfikat dociera do klienta i jak wycofana tożsamość przestaje być akceptowana.