Да ли вам је потребан Easy-RSA за OpenVPN? Зависи од тога ко поседује CA

У упутству пише да инсталирате Easy-RSA пре подешавања OpenVPN, па људи претпостављају да је то један пакет. Није. Easy-RSA је PKI алат који покреће OpenSSL; OpenVPN је тунел. Један одлучује коме се верује, други преноси пакете.

Упоређење које је важно није у томе који је алат бољи. Него у томе ко у вашој организацији поседује издаваоца.

Шта је Easy-RSA заправо

Пројекат се описује као PKI алат за управљање X.509, при чему OpenSSL обавља криптографски рад. То значи да обавија генерисање кључева, захтеве за сертификатима, политику потписивања и опозив у поновљив распоред фасцикли. Не додаје слој шифровања постојећем тунелу и не чини RSA јачим од истог кључа који је произвео други компетентан алат. Оно што чини јесте да ток рада учини проверљивим.

То је стварна корист, али оперативна, а не криптографска.

Пратите један преносни рачунар кроз регистрацију

Нови преносни рачунар генерише сопствени кључ и шаље захтев за сертификат, па приватни кључ никада не напушта уређај. Издавалац затим потписује тај захтев типом који бира исправне екстензије за улогу клијента. У Easy-RSA то је ./easyrsa sign-req client laptop-a.

Оператер ипак мора да одлучи да та особа заслужује приступ. Ниједан алат за потписивање не изводи право из уобичајеног имена.

Потписани сертификат се враћа на уређај који држи одговарајући кључ, а имплементација VPN-а одвојено обезбеђује поверење у сервер, провере идентитета, мрежну политику и захтеве налога. Датотека у излазној фасцикли издаваоца не доказује ништа од тога. Само завршено руковање то чини.

Пратите исти преносни рачунар на излазу

Уклањање је место где се избор издаваоца заиста види. Употребљив ток рада идентификује сертификат, бележи опозив и производи оно што системима који се на њега ослањају треба да би га одбили. Easy-RSA раздваја ./easyrsa revoke laptop-a од ./easyrsa gen-crl, а други корак је онај који људи забораве. Генерисање CRL-а код издаваоца не доставља га ниједном проверавачу VPN-а.

Дистрибуција, понашање при поновном учитавању и шта се дешава са већ успостављеним сесијама су одлуке имплементације, а не функције алата.

Та празнина је практични аргумент за устаљени ток рада наспрам гомиле ad hoc openssl команди. Тешки део вођења издаваоца није први сертификат. Него одржавање усклађености евиденције издавања, резервних копија, обнова и уклањања док уређаји долазе и одлазе.

Када издавалац већ постоји

Ако ваша организација већ води одобрену услугу сертификата, региструјте се кроз њу. Постављање другог CA зато што су упутства садржала Easy-RSA команде ствара посао дистрибуције поверења, посао резервних копија и још једну ствар коју треба исправно опозвати.

Локални издавалац је обавеза вођења CA, а не поље за штиклирање у упутству за подешавање.

Када је Easy-RSA прави избор

За мало приватно постављање коме заиста треба сопствени издавалац, Easy-RSA даје усредсређен ток рада без састављања сваке операције ручно. изворно Easy-RSA упутство по реду покрива кораке захтева, потписивања, опозива и CRL-а. Држите материјал за потписивање CA код његовог одређеног власника; клијентима требају сопствене акредитиве и одговарајуће јавно поверење, никада копија кључа за потписивање.

OpenVPN дизајн заснован на PIN-у је још један легитиман распоред поверења, а не покварени PKI који чека поправку. И пријава на налог не уклања потребу да се сервер аутентификује према протоколу који сте одабрали.

Одговорите на четири питања пре избора: ко одобрава нови идентитет, где живи његов приватни кључ, како сертификат стиже до клијента и како пензионисани идентитет престаје да буде прихваћен.