Riesgo al certificado SSL autofirmado en el servidor OpenVPN

Question

Riesgo al certificado SSL autofirmado en el servidor OpenVPN

#1 de Steffen Ullrich (4 votos)
#2 de Rylan (3 votos)

2

Estoy creando un servidor OpenVPN en AWS para mi organización con un registro DNS que apunta a vpn.myOrgnization.com.

NOTA LATERAL: Recientemente hemos migrado todos nuestros certificados SSL al nuevo (¡y gratis!) ACM (Amazon Certificate Manager), pero no puedo instalarlo en el servidor OpenVPN porque ACM solo admite balanceadores de carga elásticos de Amazon y CloudFront (lo que significa que no puedo instalar los certificados directamente en el servidor OpenVPN).

Mi pregunta es, ¿cuál es el riesgo de tener un certificado autofirmado en nuestro servidor OpenVPN? ¿El riesgo es simplemente la posibilidad de MitM cuando administra el servidor OpenVPN? También asumo que cuando un usuario navega al dominio vpn.myOrganization.com, un MitM podría hacerse pasar por nuestro servidor OpenVPN para robar las credenciales de VPN. Pero, una vez que el cliente OpenVPN está configurado con la autenticación adecuada, ¿existe algún riesgo futuro? ¿Puede la conexión VPN ya configurada ser MitM'ed cada vez que el cliente se conecta? Mi entendimiento es no. El protocolo OpenVPN no se basa en el certificado SSL autofirmado en el servidor, pero ciertamente no soy experto en el protocolo OpenVPN.

Cualquier pensamiento o sugerencia sería muy apreciado. Es probable que solo compre un certificado de comodines para nuestro dominio, en lugar de depender únicamente del Administrador de certificados de Amazon gratuito, pero en general también sentí curiosidad por saber cuál es este riesgo (aunque lo estaremos mitigando con un certificado de todos modos). / p>

Gracias de antemano por los pensamientos.

tls vpn openvpn

pregunta jay-charles 28.01.2016 - 16:00

fuente

2 respuestas

Lea otras preguntas en las etiquetas tls vpn openvpn

Realice solicitudes nginx para dejar de lado el cliente a propósito Extrañas solicitudes a mi servidor

score 4 · Answer 1

Si está utilizando OpenVPN para su organización, probablemente sea mejor no usar ningún certificado público para OpenVPN, sino crear su propia CA y solo aceptar certificados emitidos por esta CA. Esta es realmente la forma propuesta en el OpenVPN Howto . De esta manera, usted tiene el control total de los certificados e incluso si algunas de las CA públicas se comprometen y emiten certificados en su nombre, ninguno de sus puntos finales de OpenVPN los aceptará, porque solo se aceptan los certificados emitidos por su propia CA.

Aparte de eso: el uso de un certificado autofirmado no implica un riesgo por sí mismo, ni para VPN ni para HTTPS. El riesgo es solo si el certificado no está completamente validado. Un certificado autofirmado no se puede validar sin información adicional como la huella dactilar recibida a través de un canal seguro (como teléfono o impreso) y es por eso que es común omitir la validación completamente porque parece demasiado difícil. Por lo tanto, no el uso de autofirmado es el riesgo, pero no verificarlo correctamente es.

score 3 · Answer 2

Desde lo más alto de mi cabeza, deberías preocuparte si alguien imita el servidor VPN y luego acepta las credenciales del usuario, que pueden reproducir. ¿El cliente VPN proporciona una advertencia de que el certificado no se puede verificar? Si es así, sugiero que instale el certificado en las máquinas como de confianza, para que no reciban la advertencia. Luego, enséñeles a los usuarios que si ven el error de certificación, existe un problema / riesgo de seguridad y no inician sesión.