Aveți nevoie de Easy-RSA pentru OpenVPN? Depinde cine deține AC

Un tutorial spune să instalați Easy-RSA înainte de a configura OpenVPN, așa că oamenii presupun că cele două formează un pachet. Nu este așa. Easy-RSA este un utilitar de administrare PKI care conduce OpenSSL; OpenVPN este tunelul. Unul decide în cine se are încredere, celălalt mută pachete.

Comparația care contează nu este care instrument este mai bun. Ci cine deține emitentul în organizația dumneavoastră.

Ce este de fapt Easy-RSA

Proiectul se descrie ca un utilitar de administrare PKI X.509, cu OpenSSL făcând munca criptografică. Asta înseamnă că împachetează generarea cheilor, cererile de certificat, politica de semnare și revocarea într-o structură de directoare repetabilă. Nu adaugă un strat de criptare la un tunel deja stabilit și nu face RSA mai puternic decât aceeași cheie produsă de un alt instrument competent. Ceea ce face este să facă fluxul de lucru auditabil.

Acesta este un beneficiu real, dar operațional și nu criptografic.

Urmați un laptop prin procesul de înregistrare

Un laptop nou își generează propria cheie și trimite o cerere de certificat, așa că cheia privată nu părăsește niciodată dispozitivul. Emitentul semnează apoi cererea cu un tip care selectează extensiile potrivite pentru un rol de client. În Easy-RSA aceasta este ./easyrsa sign-req client laptop-a.

Operatorul trebuie totuși să decidă că această persoană merită acces. Niciun instrument de semnare nu deduce un drept dintr-un nume comun.

Certificatul semnat se întoarce la dispozitivul care deține cheia corespunzătoare, iar implementarea VPN furnizează separat încrederea în server, verificările de identitate, politica de rețea și cerințele de cont. Un fișier din directorul de ieșire al emitentului nu dovedește nimic din toate acestea. Doar o strângere de mână finalizată o face.

Urmați același laptop la ieșire

Eliminarea este locul unde alegerea emitentului se vede cu adevărat. Un flux de lucru utilizabil identifică certificatul, înregistrează revocarea și produce ceea ce sistemele care se bazează pe el au nevoie pentru a-l respinge. Easy-RSA separă ./easyrsa revoke laptop-a de ./easyrsa gen-crl, iar al doilea pas este cel pe care oamenii îl uită. Generarea unei CRL la emitent nu o livrează niciunui verificator VPN.

Distribuția, comportamentul la reîncărcare și ce se întâmplă cu sesiunile deja stabilite sunt decizii de implementare, nu funcții ale instrumentului.

Acel decalaj este argumentul practic pentru un flux de lucru consacrat în fața unei grămezi de comenzi openssl ad hoc. Partea grea în operarea unui emitent nu este primul certificat. Este să păstrezi coerente evidențele de emitere, copiile de siguranță, reînnoirile și eliminările pe măsură ce dispozitivele vin și pleacă.

Când există deja un emitent

Dacă organizația dumneavoastră rulează deja un serviciu de certificate aprobat, înregistrați-vă prin el. Ridicarea unui al doilea AC pentru că un tutorial includea comenzi Easy-RSA creează muncă de distribuție a încrederii, muncă de copii de siguranță și încă un lucru care trebuie revocat corect.

Un emitent local este un angajament de a opera un AC, nu o casetă de bifat într-un ghid de instalare.

Când Easy-RSA este alegerea corectă

Pentru o implementare privată mică ce are cu adevărat nevoie de propriul emitent, Easy-RSA oferă un flux de lucru concentrat fără a asambla fiecare operațiune manual. Ghidul original Easy-RSA acoperă pașii de cerere, semnare, revocare și CRL în ordine. Păstrați materialul de semnare al AC la proprietarul său desemnat; clienții au nevoie de propriile acreditări și de încrederea publică relevantă, niciodată de o copie a cheii de semnare.

Un design OpenVPN bazat pe PIN este o altă aranjare legitimă a încrederii, nu o PKI stricată ce așteaptă reparații. Iar autentificarea în cont nu elimină nevoia de a autentifica serverul conform protocolului pe care l-ați ales.

Răspundeți la patru întrebări înainte de a alege: cine aprobă o identitate nouă, unde locuiește cheia sa privată, cum ajunge certificatul la client și cum o identitate retrasă încetează să mai fie acceptată.