Një certifikatë për pajisje nuk e bën çelësin të lidhur me pajisjen
Një certifikatë për secilën pajisje është zgjedhje e administratorit, jo lidhje me pajisjen. Lidhjen e vendos vendndodhja e çelësit privat, nga një skedar i kopjueshëm deri te një TPM.
Ju lëshoni një certifikatë të veçantë për çdo laptop, prandaj supozoni se VPN-i mund t'i dallojë. Nuk mundet. Një certifikatë klienti vërteton se kush lidhet mban çelësin privat përkatës, dhe një profil i kopjuar e mban gjithashtu.
Certifikata për çdo pajisje është ende një ide e mirë. Thjesht bën një punë tjetër nga ajo që shumica e njerëzve presin.
Çfarë vërteton në të vërtetë një certifikatë klienti
Gjatë shkëmbimit fillestar klienti nënshkruan me çelësin privat që përputhet me certifikatën e tij, dhe serveri e verifikon atë nënshkrim kundrejt CA-së që beson. Asgjë në atë shkëmbim nuk përshkruan makinën. Çdo pajisje që mban certifikatën dhe çelësin prodhon një nënshkrim identik, prandaj një profil i kopjuar në një laptop të dytë duket saktësisht si origjinali. Certifikata emërton një identitet; nuk emërton harduer.
Veçantia për pajisje ende ia vlen, sepse e bën revokimin të saktë. Është veti administrative, jo kyç teknik.
Tri nivele të ruajtjes së çelësit
Niveli i parë është një skedar çelësi në disk. Është i transportueshëm nga ndërtimi, dhe aty jetojnë shumica e profileve OpenVPN.
Niveli i dytë është një çelës që sistemi operativ e shënon të paeksportueshëm. Windows-i mund të gjenerojë një çelës pajisjeje në magazinën e certifikatave dhe të refuzojë eksportin e zakonshëm, gjë që ndalon kopjimin e rastësishëm. Nuk mbështetet nga hardueri, dhe me akses të mjaftueshëm në makinë çelësa të tillë mund të rikuperohen, prandaj rrit përpjekjen në vend që të ndërtojë një mur.
Niveli i tretë është një çelës i gjeneruar brenda harduerit të sigurisë: një TPM, një kartë inteligjente, një SIM ose një token PIV. Këto module nuk kanë qarkun për të eksportuar çelësin që gjeneruan, dhe nënshkrimi ndodh brenda modulit. Çelësi nuk bëhet kurrë një skedar që dikush mund ta kopjojë.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Ajo tabelë është i gjithë argumenti në tri rreshta.
Çfarë mund dhe nuk mund të bëjë easy-rsa
Lëshimi i certifikatave për çdo pajisje është i drejtpërdrejtë. Krijoni një emër të përbashkët të veçantë për çdo pajisje kundrejt të njëjtës CA, për shembull ./easyrsa build-client-full laptop-a nopass, dhe përsëriteni për çdo pajisje. Shënoni cili emër i përbashkët i përket cilit person dhe makinë.
Revokimi është po aq i drejtpërdrejtë: ./easyrsa revoke laptop-a, rigjeneroni CRL-në me ./easyrsa gen-crl dhe sigurohuni që serveri vërtet e lexon atë përmes crl-verify.
Ajo që CA-ja nuk mund të bëjë është të verifikojë se ku çelësi privat jeton më pas. Nëse çelësin e gjeneroni në hostin e CA-së dhe e kopjoni në pajisje, në çastin e lëshimit keni krijuar një kopje të dytë. Një çelës i paeksportueshëm duhet të gjenerohet në pajisje, ose të importohet në harduer që nuk do ta lëshojë.
Kontrolle që i mbijetojnë një profili të kopjuar
Supozoni se profili mund të kopjohet dhe projektoni rreth kësaj. Lidhni llogarinë me një faktor të dytë, që certifikata e vetme të mos mjaftojë. Jepini çdo pajisjeje politikën e vet, që shtrirja e një identiteti të mbetet e kufizuar. Dhe vëzhgoni të njëjtin emër të përbashkët të lidhur njëkohësisht nga dy adresa, që është pamja e një profili të ndarë në një regjistër lidhjesh.
Revokimi i shpejtë dhe i dokumentuar është kontrolli që funksionon edhe pasi ka ndodhur një kopjim. Çdo gjë tjetër është parandalim.
Pohimi ku serveri mund të mbështetet vërtet
Veçantia vjen nga CA-ja. Lidhja me pajisjen vjen nga ruajtja e çelësit. Vetëm hardueri që nuk mund të eksportojë çelësin e tij e kthen një certifikatë për pajisje në një pohim që serveri zbaton, në vend të një politike me të cilën të gjithë bien dakord.