Ang isang sertipiko kada aparato ay hindi nagbibigkis ng susi sa aparato
Ang sertipiko kada aparato ay pinipili ng admin, hindi ito pagkakabigkis sa aparato. Ang nagtatakda ng pagkakabigkis ay kung saan nakatira ang pribadong susi, mula sa makokopyang file hanggang sa TPM.
Naglalabas ka ng hiwalay na sertipiko para sa bawat laptop, kaya inaakala mong kayang makilala sila ng VPN. Hindi nito kaya. Pinatutunayan ng sertipiko ng kliyente na ang bawat kumokonekta ay may taglay na tugmang pribadong susi, at may taglay rin nito ang kinopyang profile.
Magandang ideya pa rin ang sertipiko kada aparato. Iba lang ang trabahong ginagawa nito kaysa inaasahan ng karamihan.
Ano ba talaga ang pinatutunayan ng sertipiko ng kliyente
Sa panahon ng pagkamay, pumipirma ang kliyente gamit ang pribadong susi na tugma sa sertipiko nito, at binibigyang-katibayan ng server ang pirma laban sa CA na pinagkakatiwalaan nito. Walang anuman sa pagpapalitang iyon na naglalarawan sa makina. Anumang aparatong may dalang sertipiko at susi ay gumagawa ng magkaparehong pirma, kaya ang profile na kinopya sa pangalawang laptop ay mukhang eksaktong katulad ng orihinal. Pinapangalanan ng sertipiko ang isang pagkakakilanlan; hindi nito pinapangalanan ang hardware.
May saysay pa rin ang pagiging natatangi kada aparato, dahil ginagawa nitong tumpak ang pagbawi. Katangiang pang-administrasyon ito, hindi teknikal na kandado.
Tatlong antas ng pag-iimbak ng susi
Ang unang antas ay file ng susi sa disk. Portable ito ayon sa disenyo, at doon nakatira ang karamihan ng profile ng OpenVPN.
Ang ikalawang antas ay susi na minamarkahan ng operating system bilang hindi maaaring ilabas. Kayang gumawa ng Windows ng susi ng aparato sa tindahan ng sertipiko nito at tumangging ilabas ito nang karaniwan, na pumipigil sa basta-bastang pagkopya. Hindi ito nakaangkla sa hardware, at sa sapat na pag-access sa makina ay nakukuha pang muli ang gayong mga susi, kaya pinapataas nito ang pagsisikap sa halip na magtayo ng pader.
Ang ikatlong antas ay susi na ginawa sa loob ng hardware ng seguridad: isang TPM, isang smart card, isang SIM o isang token na PIV. Kulang ang mga module na iyon sa sirkito para ilabas ang susing ginawa nila, at sa loob ng module nagaganap ang pagpirma. Hindi kailanman nagiging file ang susi na makokopya ng sinuman.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Ang talahanayang iyon ang buong argumento sa tatlong hanay.
Ano ang kaya at hindi kaya ng easy-rsa
Ang paglalabas ng sertipiko kada aparato ay tuwid. Gumawa ng natatanging karaniwang pangalan para sa bawat aparato laban sa parehong CA, halimbawa ./easyrsa build-client-full laptop-a nopass, at ulitin ito para sa bawat aparato. Itala kung aling karaniwang pangalan ang pag-aari ng aling tao at makina.
Tuwid din ang pagbawi: ./easyrsa revoke laptop-a, muling likhain ang CRL gamit ang ./easyrsa gen-crl, at tiyaking binabasa talaga ito ng server sa pamamagitan ng crl-verify.
Ang hindi kaya ng CA ay iberipika kung saan nakatira ang pribadong susi pagkatapos. Kung likhain mo ang susi sa host ng CA at kopyahin ito sa aparato, nakagawa ka ng pangalawang kopya sa oras ng paglalabas. Ang susing hindi maaaring ilabas ay kailangang likhain sa aparato, o i-import sa hardware na hindi ito bibitiwan.
Mga kontrol na nakakaligtas sa kinopyang profile
Ipagpalagay na makokopya ang profile at magdisenyo palibot nito. Ikabit ang account sa pangalawang salik para hindi sapat ang sertipiko lamang. Bigyan ang bawat aparato ng sariling patakaran para manatiling limitado ang abot ng isang pagkakakilanlan. At bantayan ang parehong karaniwang pangalan na kumokonekta mula sa dalawang address nang sabay, na siyang anyo ng pinagsasaluhang profile sa log ng koneksyon.
Ang mabilis at dokumentadong pagbawi ang kontrol na gumagana pa rin pagkatapos mangyari ang pagkopya. Ang lahat ng iba ay pag-iwas.
Ang pahayag na talagang maaasahan ng server
Galing sa CA ang pagiging natatangi. Galing sa pag-iimbak ng susi ang pagkakabigkis sa aparato. Tanging hardware na hindi kayang ilabas ang sariling susi ang nagpapalit ng isang sertipiko kada aparato tungo sa pahayag na ipinapatupad ng server, sa halip na patakarang sinasang-ayunan ng lahat na tuparin.