Har bir qurilma uchun alohida sertifikat kalitni qurilmaga bog'lamaydi
Har bir qurilma uchun sertifikat administrator tanlovi, qurilmaga bog'lash emas. Bog'lanishni hal qiladigan narsa xususiy kalit qayerda yashashi: nusxa olinadigan fayldan TPM gacha.
Har bir noutbuk uchun alohida sertifikat chiqarasiz, shuning uchun VPN ularni ajrata oladi deb o'ylaysiz. Ajrata olmaydi. Mijoz sertifikati ulanayotgan kishi mos keladigan xususiy kalitga ega ekanini isbotlaydi, nusxa olingan profil ham uni saqlaydi.
Har bir qurilma uchun sertifikat baribir yaxshi fikr. U shunchaki ko'pchilik kutganidan boshqa ishni bajaradi.
Mijoz sertifikati aslida nimani isbotlaydi
Ulanish o'rnatilayotganda mijoz o'z sertifikatiga mos keladigan xususiy kalit bilan imzo chekadi, server esa bu imzoni ishonchli CA bo'yicha tekshiradi. Bu almashinuvda hech narsa mashinani tasvirlamaydi. Sertifikat va kalitni birga saqlaydigan har qanday qurilma bir xil imzo hosil qiladi, shuning uchun ikkinchi noutbukka nusxalangan profil asl nusxaga aynan o'xshaydi. Sertifikat shaxsiyatni nomlaydi; apparatni nomlamaydi.
Qurilma bo'yicha noyoblik baribir o'zini oqlaydi, chunki bekor qilishni aniq qiladi. Bu ma'muriy xususiyat, texnik qulf emas.
Kalit saqlashning uch darajasi
Birinchi daraja diskdagi kalit fayli. U dizayni bo'yicha ko'chiriladi va OpenVPN profillarining ko'pchiligi shu yerda yashaydi.
Ikkinchi daraja operatsion tizim eksport qilib bo'lmaydigan deb belgilaydigan kalit. Windows o'z sertifikat do'konida qurilma kalitini yaratib, oddiy eksportdan bosh tortishi mumkin, bu tasodifiy nusxa ko'chirishni to'xtatadi. U apparat bilan quvvatlanmagan va mashinaga yetarli kirish bo'lsa bunday kalitlarni tiklash mumkin, shuning uchun devor qurish o'rniga harakatni oshiradi.
Uchinchi daraja xavfsizlik apparati ichida yaratiladigan kalit: TPM, smart-karta, SIM yoki PIV tokeni. Bu modullarda o'zlari yaratgan kalitni eksport qiladigan sxema yo'q va imzolash modul ichida sodir bo'ladi. Kalit hech qachon hech kim nusxa oladigan faylga aylanmaydi.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Bu jadval butun dalilni uch qatorda beradi.
easy-rsa nima qila oladi va nima qila olmaydi
Har bir qurilma uchun sertifikat chiqarish oddiy. Bir xil CA qarshisida har bir qurilma uchun alohida umumiy nom yarating, masalan ./easyrsa build-client-full laptop-a nopass, va har bir qurilma uchun takrorlang. Qaysi umumiy nom qaysi shaxs va mashinaga tegishli ekanini yozib qo'ying.
Bekor qilish ham shunchalik to'g'ridan-to'g'ri: ./easyrsa revoke laptop-a, CRL ni ./easyrsa gen-crl bilan qayta yarating va server uni haqiqatan crl-verify orqali o'qishiga ishonch hosil qiling.
CA qila olmaydigan narsa xususiy kalit keyin qayerda yashashini tekshirish. Agar kalitni CA xostida yaratib, uni qurilmaga nusxalasangiz, chiqarish paytida ikkinchi nusxani yaratgansiz. Eksport qilib bo'lmaydigan kalit qurilmaning o'zida yaratilishi yoki uni qo'yib yubormaydigan apparatga import qilinishi kerak.
Nusxa olingan profildan omon qoladigan nazoratlar
Profil nusxa olinishi mumkin deb faraz qiling va shunga mos loyihalashtiring. Hisobni ikkinchi omilga bog'lang, shunda sertifikatning o'zi yetarli bo'lmasin. Har bir qurilmaga o'z siyosatini bering, shunda bitta shaxsiyatning qamrovi cheklangan qolsin. Va bir xil umumiy nom bir vaqtda ikki manzildan ulanayotganini kuzating, ulanish jurnalida umumiy profil aynan shunday ko'rinadi.
Tez va hujjatlashtirilgan bekor qilish nusxa sodir bo'lgandan keyin ham ishlaydigan nazorat. Qolgan hamma narsa oldini olishdir.
Server haqiqatan suyanishi mumkin bo'lgan da'vo
Noyoblik CA dan keladi. Qurilmaga bog'lanish kalit saqlashdan keladi. Faqat o'z kalitini eksport qila olmaydigan apparat har bir qurilma uchun bitta sertifikatni hamma rozi bo'lgan siyosatga emas, server amal qiladigan da'voga aylantiradi.