Ocspd configureren voor meerdere CA's in mijn PKI?

[Dennis]

Ik ben vandaag bezig geweest mijn nieuwe PKI op te tuigen en dat is tot nu toe aardig gelukt. Hij bestaat straks uit een root CA die offline staat op een virtuele machine en drie intermediate CA's (hebben elk een ander doel) die op een Jail in mijn NAS staan.

De root CA werkt met een CRL die ik elke 6 maanden (ja ik weet het, dat is niet bepaald best practice) handmatig ga updaten. Ik heb een internetdomein aangemaakt waar ik de CRL publiceer, ook dat gebeurt trouwens via de Jail van mijn NAS.

Voor de intermediate CA's heb ik andere plannen: ik wil gebruik gaan maken van OCSP. Op zich niet bijzonder moeilijk. Voor het draaien van een server heb je verschillende opties: openssl, maar veel beter is ocspd. Daar heb ik echter een vraagje over.

Ocspd is niet bepaald goed gedocumenteerd, maar de sample configuration is gelukkig vrij duidelijk. Ik heb drie intermediate CA's, maar ik wil maar één OCSP deamon/responder draaien. Ik wil namelijk ook gewoon één adres dat in al mijn certificaten komt.

In de sample configuratie staat dit uitgelegd. Met 0.ca = @intermediate_ca1 en daaronder een sectie met CA en CRL file locations kun je er zoveel definiëren als je wilt. Alleen de deamon moet zelf ook een certificate van de CA hebben gekregen om 'authoritive' te zijn en queries te mogen beantwoorden. Deze is weliswaar te vinden in de sample config, maar dan wel in het globale gedeelte en ik kan dat niet rijmen met het feit dat ik straks meerdere intermediate CA's ga uitserveren.

Dus de simpele vraag is: gaat het niet lukken omdat ik meerdere OCSP certificaten zou moeten hebben (en ontkom ik dus niet aan het draaien van meerdere deamons) of kan het wel gewoon? En in dat laatste geval, welke CA moet ik nou een OCSP certificaat laten maken?

[Rainmaker]

Als ik even kijk naar de sample config, lijkt het mij dat je gewoon 3 keer een crl_url en een ca_url op moet geven.

Je OCSP server krijgt een request voor intermediate CA X.local, en zoekt dan zelf uit of hij ge-authorized is om dat te geven door te checken dat zijn ca_url certificaat gesigned is door X.local.

offtopic:
Overigens; dit hoeft al een tijdje niet meer handmatig allemaal. Is wel leuk om te leren e.d., maar er zijn gewoon projecten voor PKI frontends. Persoonlijk favoriet dogtag. Draait alleen niet op je NAS waarschijnlijk

[ Voor 3% gewijzigd door Rainmaker op 31-08-2015 23:50 ]

[Dennis]

Rainmaker schreef op maandag 31 augustus 2015 @ 23:49:
Je OCSP server krijgt een request voor intermediate CA X.local, en zoekt dan zelf uit of hij ge-authorized is om dat te geven door te checken dat zijn ca_url certificaat gesigned is door X.local.

Precies, maar dat is toch een beetje mijn probleem? . Want dat ca_url certificaat kan maar door één van de drie gesigned zijn.

Tenminste, het gaat mij dus om:

code:

ocspd_certificate = $dir/certs/ocspd_cert.pem   # The OCSP server cert
ocspd_key     = $dir/private/ocspd_key.pem  # The OCSP server key

offtopic:
Overigens; dit hoeft al een tijdje niet meer handmatig allemaal. Is wel leuk om te leren e.d., maar er zijn gewoon projecten voor PKI frontends. Persoonlijk favoriet dogtag. Draait alleen niet op je NAS waarschijnlijk

Thanks! .

[Dennis]

Ik heb me inmiddels gewend tot de mailinglist van ocspd. Daar vond ik een thread uit mei 2014 waarin het door mij beschreven probleem al aan de kaak gesteld wordt.

Die vraag is daar niet beantwoord, maar ik heb hem opnieuw gesteld en kreeg als reactie dat de configuratie er inderdaad niet goed geschikt voor is. Mijn indruk klopte dus. Wel is er een workaround, waarbij je eenzelfde private key gebruikt voor alle OCSP signing certificates van je verschillende CA's. Niet direct een groot security risico, maar om nou te zeggen dat het een schoonheidsprijs verdient, nee...

Helaas dus niet echt een bevredigende uitkomst. Er is ook niet echt een alternatieve stand-alone OCSP-responder. Rainmaker had het al over geïntegreerde pakketten, dus zit nu even te kijken naar EJBCA. Het is wel een beetje een complex pakket, maar misschien leuk om te leren.

Als iemand nog verdere suggesties heeft, zijn die natuurlijk welkom.

[CAPSLOCK2000]

Ik heb helaas geen suggesties maar wilde je wel even bedanken voor de update over dit interessante probleem.

[Dennis]

Nog even een update voor dit topic .

In mijn laatste bericht schreef ik al dat ik aan het kijken was naar alternatieven, maar dat dat lastig is omdat OCSP-servers eigenlijk niet bestaan, behalve als onderdeel van geïntegreerde pakketten. Ik heb dus even gekeken naar EJBCA, wat misschien wel één van de meest complete pakketten is en ook als enterprise-oplossing wordt ingezet. Het is wel open source trouwens!

Omdat de applicatie op jboss draait is het geen kwestie van even nginx en php installeren en gaan, maar mag je een hele jboss-server opzetten. Gelukkig kwam ik deze zeer uitgebreide tutorial tegen over hoe je dit kunt doen. Weliswaar gebaseerd op CentOS, maar ik heb hem zojuist werkend gekregen in een jail op mijn FreeNAS. De tutorial is uitstekend kan ik wel zeggen. Er zijn natuurlijk een paar verschillen in FreeBSD t.o.v. CentOS, maar met wat algemene kennis van FreeBSD herken je die eenvoudig.

Nu dus even de configuratie afronden en dan kan ik starten met het importeren van mijn Root CA, Intermediate CA's en vervolgens templates configureren.

Als alles erin zit moet ik nog even kijken hoe ik de OCSP-responder naar buiten toe open zet, maar misschien hang ik een Apache in de jail die als proxy gaat fungeren. Voor de grote buitenwereld heb ik een haproxy op mijn pfSense VPS die dan weer naar de Apache linkt (over een OpenVPN-verbinding) .