Background: ho bisogno di configurare l'accesso remoto sicuro per un piccolo ufficio domestico. Sono un po 'noob e non ho avuto bisogno di gestire i certificati prima. Capisco la maggior parte del setup, ma voglio capire le implicazioni pratiche della gestione dei certificati in quanto devo gestire anche il lato CA.
Riepilogo LAN
Semplice router open source con dispositivi LAN (principalmente PC e stampante), tutti collegati da uno switch non gestito e con una banca pubblica di 16 IP. Non ci sono VLAN, nessun accesso al dominio / raggio, nessun altro servizio LAN e nessun DNS locale (sono a mio agio usando solo DHCP e IP puri). Il router supporta nativamente IPSEC / L2TP / OpenVPN in ingresso. Sono tendenzialmente propenso ad OpenVPN se non ci sono buone ragioni per andare con un altro (ma ammetto che non conosco le differenze pratiche).
Domanda:
La preoccupazione è che la scarsa configurazione possa esporre il cliente al mondo esterno. Come CA per la LAN, devo pensare ai certificati privati / di firma e a tutto il resto, non solo ai certificati pubblici. Quindi voglio assicurarmi che i file relativi alla sicurezza generati (certs privati, chiavi master, chiavi di firma, qualunque) siano gestiti correttamente e mantenuti + gestiti in modo appropriato in modo sicuro. Ma la maggior parte delle risorse di un livello che posso capire omettere o sono vaghe sulle pratiche di sicurezza post-installazione.
Quindi ... come gestore del processo di certificazione (visto dal punto di vista router / CA) quali sono i certificati / chiavi / auto-certificati esatti da configurare e quali file di gestione dei certificati devo proteggere e come dovrei fare vero? (crittografia dei file sul mio laptop, chiavetta USB separata, laptop dedicato non in rete, ...?) Quanto spesso devo accedere a questi, una volta impostato (sicurezza v. convenienza)? Le implementazioni "più" memorizzerebbero queste crittografate o dovrei preoccuparmi di come il router stesso le trattiene?
Grazie per l'aiuto!
Aggiornamento 1 - Aggiornamento per chiarire un po 'i ruoli, poiché non sono gli stessi di quanto ci si potrebbe aspettare. Di solito si immagina uno sviluppatore o proprietario del sito che certifichi a terze parti tramite una CA indipendente o una CA indipendente e il proprietario del sito che crea certificati per varie altre parti. Qui è molto più semplice. L'unico scopo di creare qualsiasi CA / certificati / chiavi è quello di consentire a una persona (il proprietario della LAN e nessun altro) di connettersi alla LAN in modo sicuro utilizzando un meccanismo quando è lontano (VPN nativa del router) e per essere sicuri che altri non possano farlo così (entro i limiti delle abituali dichiarazioni di sicurezza). Una volta che tutto è stato configurato e funzionante, le certs / chiavi aggiuntive potrebbero essere raramente necessarie.
Lo scenario del mondo reale è che il proprietario deve spostarsi a breve, poiché il luogo non sarà abitabile a causa di importanti lavori di costruzione per 18 mesi, ma la LAN rimarrà. La mia domanda non è in realtà come generare chiavi e certificati che abbia molti HOWTO, si tratta della conoscenza di ITSec più rilevante per il suo scenario; Mi piacerebbe fare il boot un po 'meglio sul know how procedurale, quindi quando seguo le ricette, ho un certo grado di conforto che non le sto solo seguendo, ma mantenendo ciò che è stato creato abbastanza bene, e che non è probabile che sia lasciando la LAN tutto-ma-aperto dall'ignoranza mentre è "vivo" in seguito. Ho bisogno di alcune indicazioni su cosa devo fare per essere il più sicuro possibile, che gli sto dando un setup ragionevolmente sicuro e gestendolo ragionevolmente bene.
Probabilmente l'ho detto un po 'drammaticamente :) ma con un po' di fortuna distingue e chiarisce la domanda posta.