Gia hạn chứng chỉ OpenVPN: giao chứng chỉ, không phải bộ hẹn giờ

Hai thiết kế gia hạn trông giống hệt nhau trong một buổi đánh giá thiết kế và hành xử hoàn toàn khác nhau vào tháng Giêng. Cái thứ nhất chạy một bộ hẹn giờ, cấp lại chứng chỉ và thả tệp vào một thư mục chia sẻ. Cái thứ hai coi việc gia hạn là một bài toán giao nhận: ai yêu cầu, điều gì chứng minh tính đủ điều kiện, vật liệu đến thiết bị bằng cách nào và điều gì khiến máy khách sử dụng nó. Chỉ cái thứ hai sống sót qua một máy tính xách tay ngoại tuyến, một tài sản đã nghỉ hưu và một lần giao nhận thất bại trong im lặng.

So sánh hai thiết kế ở nơi chúng thực sự khác nhau

Thiết kế dùng bộ hẹn giờ tối ưu phía máy chủ. Một tác vụ đã lên lịch gọi CA, một chứng chỉ mới xuất hiện và người vận hành coi công việc đã xong. Mọi thứ xảy ra sau khi cấp phát là vấn đề của người khác, cho đến khi một thiết bị không kết nối được và ngày hết hạn giải thích lý do.

Thiết kế theo quy trình tối ưu dặm cuối. Nó giả định việc cấp phát là một mắt xích trong chuỗi và mỗi bước sau có thể thất bại độc lập. Việc này tốn kém hơn để xây dựng và rẻ hơn nhiều để vận hành, vì các hỏng hóc hiện ra như những trạng thái được theo dõi chứ không phải những máy khách đã hết hạn.

Một cách hữu ích để giữ sự khác biệt trong tầm mắt là trình tự mà mỗi thiết kế phải nêu rõ ràng.

detect window -> authenticate request -> authorize -> issue
-> deliver and stage -> activate -> verify fresh auth -> retire old material

Phát hiện cửa sổ từ chính chứng chỉ

Đọc thời hạn hiệu lực từ chứng chỉ mà máy khách thực sự trình bày, không phải từ ngày được nhúng trong một tên tệp đã sao chép. Tên tệp trôi đi, và một tệp ghi 2026 có thể chứa thông tin xác thực hết hạn vào tháng Ba.

Chừa khoảng trống trong cửa sổ cho những trường hợp chậm: thiết bị ngoại tuyến nhiều tuần, phê duyệt cần một con người và những đường giao nhận thất bại một lần trước khi hoạt động. Một bộ hẹn giờ báo thành công chỉ chứng minh rằng bộ hẹn giờ đã chạy, không hơn.

Ủy quyền yêu cầu trước khi bất cứ điều gì được cấp

Một chứng chỉ hiện có có thể là một phần của cơ chế gia hạn hợp pháp, nhưng văn bản chủ thể của nó không phải là một quyết định ủy quyền. Câu hỏi cần trả lời là tài khoản này và thiết bị này còn được quyền có một danh tính trong đội hay không, và câu trả lời đó nằm trong hồ sơ tài sản của bạn, không phải trong chứng chỉ.

Một máy tính xách tay đã nghỉ hưu mà tác vụ đã lên lịch vẫn chạy thì không nên nhận một quyền mới. RFC 7030 đáng đọc ở đây vì nó tách việc đăng ký lại có xác thực khỏi việc ủy quyền và chính sách phía máy chủ; đó là một mô hình để vay mượn, không phải một tuyên bố rằng OpenVPN hay EasyRSA cung cấp giao thức đó.

Giao nhận, chuẩn bị và kích hoạt như những bước riêng biệt

Việc cấp phát giữ nguyên danh tính, mục đích và quan hệ cấp phát, và một bản thay thế được tạo bằng cặp khóa mới là vô dụng nếu khóa tương ứng không đi cùng nó. Giao cặp khóa qua một kênh có thiết kế kiểm soát truy cập đằng sau, vì một URL không thể đoán được là che giấu chứ không phải kiểm soát.

Chuẩn bị là nơi phần lớn tự động hóa âm thầm hỏng. Một hồ sơ đã nhập có thể nằm ở một vị trí trong khi quản trị viên cập nhật một tệp ở nơi khác, và máy khách tiếp tục trình bày chứng chỉ cũ cho đến khi ai đó nhận ra. Hãy ghi lại đường dẫn mà máy khách đọc, tài khoản được phép ghi vào đó và sự kiện kích hoạt việc tải lại. Sau đó xác nhận rằng bản thay thế là tệp thực sự được dùng chứ không phải một bản sao đến bên cạnh.

Xác minh nghĩa là một lần xác thực mới với vật liệu mới và một lần kiểm tra ứng dụng mà người dùng cần. Một đường hầm đã được thiết lập có thể vẫn phản ánh thông tin xác thực trước đó, nên một kết nối đang mở không phải là bằng chứng của một lần gia hạn thành công.

Hãy thiết kế trước việc khôi phục cửa sổ bị bỏ lỡ

Khi một máy tính xách tay chỉ đến được dịch vụ đăng ký qua VPN, việc hết hạn tạo ra một vòng lặp: thiết bị cần chứng chỉ để vào đường hầm và đường hầm để lấy chứng chỉ. Hãy quyết định cách xử lý ngoài băng tần trước khi tác vụ đã lên lịch đầu tiên được gửi đi, dù đó là một điểm cuối đăng ký được xác thực riêng hay việc đăng ký lại có quản trị viên hỗ trợ.

Dù bạn chọn gì, nó phải xác minh người yêu cầu và quyền hiện tại. Việc cấu hình máy chủ chấp nhận chứng chỉ hết hạn từ bất kỳ ai yêu cầu không phải là một lộ trình khôi phục, mà là sự suy yếu vĩnh viễn của bước kiểm tra mà bạn đã bảo vệ bằng phần còn lại của thiết kế.

Cuối cùng, hãy giữ việc gia hạn và việc bị xâm phạm trong các quy trình riêng. Một khóa bị lộ cần thu hồi và phản ứng với các phiên đang hoạt động, và việc kéo dài ngày hết hạn không chứa gì trong số đó. Đưa một thiết bị ngoại tuyến, một lần giao nhận thất bại và một tài sản đã nghỉ hưu vào bài kiểm tra chấp nhận, và lịch trình đã sẵn sàng để bật.