Potrebujete Easy-RSA pre OpenVPN? Záleží na tom, kto vlastní CA

Návod hovorí, aby ste pred nastavením OpenVPN nainštalovali Easy-RSA, takže ľudia predpokladajú, že ide o jeden balík. Nie je. Easy-RSA je nástroj na správu PKI, ktorý riadi OpenSSL; OpenVPN je tunel. Jeden rozhoduje, komu sa má veriť, druhý prenáša pakety.

Dôležité porovnanie nie je to, ktorý nástroj je lepší. Ale to, kto vo vašej organizácii vlastní vydavateľa.

Čo Easy-RSA vlastne je

Projekt sa opisuje ako nástroj na správu PKI X.509, pričom kryptografickú prácu robí OpenSSL. Znamená to, že obaľuje generovanie kľúčov, žiadosti o certifikáty, politiku podpisovania a odvolanie do opakovateľnej štruktúry adresárov. Nepridáva šifrovaciu vrstvu k zavedenému tunelu a nerobí RSA silnejšie ako ten istý kľúč vytvorený iným kompetentným nástrojom. Robí to, že je pracovný postup auditovateľný.

To je skutočná výhoda, ale prevádzková, nie kryptografická.

Sledujte jeden notebook počas registrácie

Nový notebook vygeneruje vlastný kľúč a odošle žiadosť o certifikát, takže súkromný kľúč nikdy neopustí zariadenie. Vydavateľ potom túto žiadosť podpíše typom, ktorý vyberie správne rozšírenia pre klientsku rolu. V Easy-RSA je to ./easyrsa sign-req client laptop-a.

Operátor sa stále musí rozhodnúť, že si táto osoba zaslúži prístup. Žiadny podpisový nástroj neodvodzuje oprávnenie z bežného mena.

Podpísaný certifikát sa vracia na zariadenie, ktoré drží zodpovedajúci kľúč, a nasadenie VPN samostatne dodáva dôveru servera, overovanie identity, sieťovú politiku a požiadavky na účet. Súbor vo výstupnom adresári vydavateľa nič z toho nedokazuje. Dokáže to len dokončené podanie ruky.

Sledujte ten istý notebook pri odchode

Práve pri odstránení sa voľba vydavateľa naozaj prejaví. Použiteľný pracovný postup identifikuje certifikát, zaznamená odvolanie a vytvorí to, čo závislé systémy potrebujú na jeho odmietnutie. Easy-RSA oddeľuje ./easyrsa revoke laptop-a od ./easyrsa gen-crl, a druhý krok je ten, na ktorý ľudia zabúdajú. Vygenerovanie CRL u vydavateľa ho nedoručí žiadnemu overovateľovi VPN.

Distribúcia, správanie pri opätovnom načítaní a to, čo sa stane s už nadviazanými reláciami, sú rozhodnutia o nasadení, nie funkcie nástroja.

Táto medzera je praktický argument za zavedený pracovný postup proti hromade ad hoc príkazov openssl. Ťažká časť prevádzky vydavateľa nie je prvý certifikát. Je to udržiavanie súdržných záznamov o vydávaní, zálohách, obnovách a odstráneniach, keď zariadenia prichádzajú a odchádzajú.

Keď vydavateľ už existuje

Ak vaša organizácia už prevádzkuje schválenú certifikačnú službu, registrujte sa cez ňu. Postavenie druhej CA len preto, že návod obsahoval príkazy Easy-RSA, vytvára prácu s distribúciou dôvery, prácu so zálohami a druhú vec, ktorú treba správne odvolať.

Miestny vydavateľ je záväzok prevádzkovať CA, nie zaškrtávacie pole v príručke nastavenia.

Kedy je Easy-RSA správna voľba

Pre malé súkromné nasadenie, ktoré naozaj potrebuje vlastného vydavateľa, dáva Easy-RSA sústredený pracovný postup bez ručného skladania každej operácie. pôvodný návod Easy-RSA pokrýva kroky žiadosti, podpisu, odvolania a CRL v poradí. Podpisový materiál CA držte u jeho určeného vlastníka; klienti potrebujú vlastné prihlasovacie údaje a príslušnú verejnú dôveru, nikdy kópiu podpisového kľúča.

Návrh OpenVPN založený na PIN je iné legitímne usporiadanie dôvery, nie pokazená PKI čakajúca na opravu. A prihlásenie do účtu neodstraňuje potrebu overiť server podľa protokolu, ktorý ste si vybrali.

Pred výberom odpovedzte na štyri otázky: kto schvaľuje novú identitu, kde žije jej súkromný kľúč, ako sa certifikát dostane ku klientovi a ako prestane byť vyslúžilá identita prijímaná.