Rischio di certificato SSL autofirmato sul server OpenVPN

Se si utilizza OpenVPN per la propria organizzazione è probabilmente meglio non utilizzare alcun certificato pubblico per OpenVPN ma creare la propria CA e accettare solo i certificati emessi da questa CA. Questo è in realtà il modo proposto nel OpenVPN Howto . In questo modo hai il pieno controllo dei certificati e anche se alcune CA pubbliche vengono compromesse e rilasciano certificati a tuo nome, nessuno dei tuoi endpoint OpenVPN li accetterà, perché vengono accettati solo i certificati emessi dalla tua CA.

A parte questo: l'utilizzo di un certificato autofirmato non comporta un rischio di per sé, non per VPN e non per HTTPS. Il rischio è solo se il certificato non è completamente convalidato. Un certificato autofirmato non può essere convalidato senza informazioni aggiuntive come l'impronta digitale ricevuta su un canale sicuro (come il telefono o stampato) ed è per questo che è normale saltare la convalida completamente perché sembra troppo difficile. Quindi non è l'uso dell'autofirmato il rischio, ma non la verifica in modo appropriato.

In cima alla mia testa, dovresti preoccuparti di qualcuno che imita il server VPN e quindi accetta le credenziali dell'utente, che possono riprodurre. Il client VPN fornisce un avviso che non è possibile verificare la certificazione? In tal caso, suggerisco di installare il certificato sulle macchine come attendibile, in modo che non ricevano l'avviso. Quindi, insegna agli utenti che se visualizzano l'errore cert, c'è un problema / rischio per la sicurezza e non procedere all'accesso.