Precisa de Easy-RSA para o OpenVPN? Depende de quem é dono da CA

Um tutorial manda instalar o Easy-RSA antes de configurar o OpenVPN, por isso as pessoas assumem que os dois são um pacote. Não são. O Easy-RSA é um utilitário de gestão de PKI que controla o OpenSSL; o OpenVPN é o túnel. Um decide em quem confiar, o outro move pacotes.

A comparação que importa não é qual ferramenta é melhor. É quem possui o emissor na sua organização.

O que o Easy-RSA é de facto

O projeto descreve-se como um utilitário de gestão de PKI X.509, com o OpenSSL a fazer o trabalho criptográfico. Isso significa que envolve a geração de chaves, os pedidos de certificado, a política de assinatura e a revogação numa estrutura de diretórios repetível. Não acrescenta uma camada de encriptação a um túnel já estabelecido, nem torna o RSA mais forte do que a mesma chave produzida por outra ferramenta competente. O que faz é tornar o fluxo de trabalho auditável.

Isso é um benefício real, mas operacional e não criptográfico.

Siga um portátil durante o registo

Um portátil novo gera a sua própria chave e envia um pedido de certificado, pelo que a chave privada nunca sai do dispositivo. O emissor assina então esse pedido com um tipo que escolhe as extensões certas para uma função de cliente. No Easy-RSA isso é ./easyrsa sign-req client laptop-a.

O operador ainda tem de decidir que esta pessoa merece acesso. Nenhuma ferramenta de assinatura deduz um direito a partir de um nome comum.

O certificado assinado volta para o dispositivo que guarda a chave correspondente, e a implementação da VPN fornece separadamente confiança no servidor, verificações de identidade, política de rede e requisitos de conta. Um ficheiro no diretório de saída do emissor não prova nada disso. Só um aperto de mão concluído o faz.

Siga o mesmo portátil na saída

É na remoção que a escolha do emissor se vê de facto. Um fluxo de trabalho utilizável identifica o certificado, registra a revogação e produz o que os sistemas que nele confiam precisam para o rejeitar. O Easy-RSA separa ./easyrsa revoke laptop-a de ./easyrsa gen-crl, e o segundo passo é o que as pessoas esquecem. Gerar uma CRL no emissor não a entrega a nenhum verificador de VPN.

Distribuição, comportamento ao recarregar e o que acontece às sessões já estabelecidas são decisões de implementação, não funcionalidades da ferramenta.

Essa lacuna é o argumento prático a favor de um fluxo de trabalho consolidado em vez de um monte de comandos openssl ad hoc. A parte difícil de operar um emissor não é o primeiro certificado. É manter coerentes os registos de emissão, as cópias de segurança, as renovações e as remoções à medida que os dispositivos vão e vêm.

Quando já existe um emissor

Se a sua organização já opera um serviço de certificados aprovado, registe-se através dele. Montar uma segunda CA porque um tutorial incluía comandos Easy-RSA cria trabalho de distribuição de confiança, trabalho de cópias de segurança e mais uma coisa a revogar corretamente.

Um emissor local é um compromisso de operar uma CA, não uma caixa de seleção num guia de instalação.

Quando o Easy-RSA é a escolha certa

Para uma pequena implementação privada que precisa genuinamente do seu próprio emissor, o Easy-RSA dá um fluxo de trabalho focado sem montar cada operação à mão. O guia original do Easy-RSA cobre os passos de pedido, assinatura, revogação e CRL por ordem. Mantenha o material de assinatura da CA com o seu proprietário designado; os clientes precisam das suas próprias credenciais e da confiança pública relevante, nunca de uma cópia da chave de assinatura.

Um desenho de OpenVPN baseado em PIN é outra disposição legítima de confiança, não uma PKI avariada à espera de reparação. E o início de sessão não elimina a necessidade de autenticar o servidor segundo o protocolo que escolheu.

Responda a quatro perguntas antes de escolher: quem aprova uma nova identidade, onde vive a sua chave privada, como o certificado chega ao cliente e como uma identidade retirada deixa de ser aceite.