Shtimi i një klienti VPN pa rindërtuar CA

Ju duhet një certifikatë më shumë për një laptop më shumë, por mësimi i parë në rezultatet e kërkimit fillon me një komandë që fshin drejtorinë PKI. Ajo komandë i përket konfigurimit të parë, jo regjistrimit, dhe ekzekutimi i saj ju kushton CA, historikun e lëshimit dhe çdo profil klienti që i besonte lëshuesit të vjetër. Vendimi është më i ngushtë: a ka lëshuesi ende gjendje të përdorshme dhe a përputhet pajisja e re me politikën tuaj të regjistrimit? Tri kushte e vendosin, dhe vetëm një justifikon rindërtimin.

Çfarë shkatërron vërtet një rindërtim

Riinitializimi i PKI zëvendëson drejtorinë me një strukturë boshe: çelës dhe certifikatë CA të re, bazë lëshimi bosh dhe numërues i ri serish. Klientët nuk ndjekin vetvetiu; profilet e tyre fiksojnë CA e vjetër, ndaj çdo pajisje duhet të regjistrohet përsëri, dhe ato të paarritshme me dorë.

Humbja më e qetë është kontabiliteti. Revokimi varet nga njohja e numrave serikë që keni lëshuar dhe kujt. Fshini indeksin dhe ende mund të nënshkruani, por nuk mund të thoni me siguri cilat nga certifikatat e lëshuara donit të revokonit. Një drejtori CA me certifikata pa gjendjen përkatëse të lëshuesit është një kopje sigurie që rikthen gjysmën e gabuar të sistemit.

Kopjimi i çelësit privat të CA pranë serverit që punon është shkurtesa tjetër që duhet refuzuar: e kthen një autoritet nënshkrimi që duhet të qëndrojë jashtë rrjetit në një skedar tjetër në një host me trafik të pabesueshëm.

Kushti i parë: a është ende i arritshëm gjendja e lëshuesit

Para se të vendosni, gjeni drejtorinë që serveri i beson vërtet. Krahasoni certifikatën që serveri paraqet si CA me atë në drejtorinë PKI sipas gjurmës së gishtit, jo sipas emrit të skedarit:

openssl x509 -in ca.crt -noout -fingerprint -sha256
openssl x509 -in /etc/openvpn/ca.crt -noout -fingerprint -sha256

Nëse gjurmët përputhen, regjistrimi është shtesë dhe nuk rindërtoni asgjë. Nëse ndryshojnë, po nënshkruani me një CA që serveri nuk e beson: certifikata instalohet pastër dhe dështon në shtrëngimin e duarve, dhe ai gabim diagnostikohet gabimisht si defekt klienti për orë të tëra.

Më pas kërkoni gjendjen e lëshimit: skedarin e indeksit, numëruesin e serive dhe skedarin e numrit CRL. Nëse indeksi mungon por çelësi ekziston, mund të lëshoni, por trashëgoni problemin e regjistrimit të revokimeve. Shënoni atë në regjistrin e ndryshimeve, sepse kërkesa e radhës për revokim do ta zbulojë.

Kushti i dytë: kush e mban çelësin e ri privat

Ky është vendimi që ndiejnë përdoruesit, ndaj merrni atë shprehimisht. Një çelës i gjeneruar nga klienti dhe i paraqitur si kërkesë e mban gjysmën private në pajisje që nga komanda e parë, dhe administratori nuk e prek kurrë. Një çelës i gjeneruar në server është më i lehtë për pajisjet pa mjete, por e bën administratorin kujdestar të çdo çelësi dhe zgjeron ndikimin e kompromisit të serverit.

Me Easy-RSA 3 kundër një CA ekzistuese, importimi dhe nënshkrimi i një kërkese janë dy komanda:

./easyrsa import-req /tmp/alice.req alice
./easyrsa sign-req client alice

Zgjidhni llojin e certifikatës me qëllim. Një kërkesë e nënshkruar si certifikatë serveri në vend të klienti jep një skedar që duket mirë dhe refuzohet nga pala, dhe mesazhi i gabimit rrallë thotë pse. Me openssl ca i njëjti zgjedhje jeton në shtesat që kaloni, jo në seksionin e parazgjedhur.

Kushti i tretë: a i duhet serverit më shumë se një certifikatë

Për një server OpenVPN të zakonshëm me vërtetim me certifikatë, certifikata është vetë regjistrimi: emri i përbashkët bëhet identiteti i klientit, dhe çdo drejtori, rrugë e shtyrë ose adresë statike varet nga ai emër. Shtoni certifikatën dhe harroni konfigurimin, tuneli lidhet por rrugët e nevojshme nuk shfaqen.

Platformat e ndryshojnë këtë. OpenVPN Access Server mban bazën e vet të përdoruesve, ndaj një certifikatë e nënshkruar nuk është llogari; llogaria duhet të ekzistojë dhe të lejohet. Portat e tjera lidhin një varg identiteti me një grup. Regjistrimi i një pajisjeje zakonisht prek dy sisteme, dhe certifikata është vetëm e para.

Procedura shtesë dhe kur rindërtimi është i drejtë

Sekuenca që shton një pajisje pa dëme: konfirmoni lëshuesin me gjurmë gishti, merrni një kopje të freskët të drejtorisë PKI, importoni dhe nënshkruani kërkesën për rolin e klientit, dorëzoni certifikatën me zinxhirin e saj përmes kanalit të miratuar, dhe verifikoni para se përdoruesi të lidhet:

openssl verify -CAfile ca.crt alice.crt
openssl x509 -in alice.crt -noout -subject -issuer -dates -purpose

Rreshti i qëllimit duhet të tregojë SSL client. Përfundoni duke përditësuar kopjen e CA pas lëshimit, sepse një kopje e marrë para regjistrimit të serisë së re rikthen një gjendje pa pajisjen që sapo shtuat.

Rindërtimi është i drejtë në tri raste: çelësi i CA është komprometuar, gjendja e lëshimit është humbur pa shpresë, ose po ndryshoni qëllimisht algoritmin e çelësit ose politikën e certifikatave. Të tria janë projekte me një plan ripërtëritjeje për çdo klient, jo hapa në një kërkesë për një pajisje. Nëse asnjë nuk vlen, regjistroni në mënyrë shtesë.