Quelle est l'utilité du mot de passe de défi dans build-key-server et build-key d'Easy-RSA?
Tous les OpenVPN/ tutoriels Easy-RSA que j'ai trouvés, conseillent de définir un mot de passe de challenge vide lors de la construction de la clé pour le serveur OpenVPN.
Quelqu'un sait pourquoi? Quelle est l'utilisation prévue du mot de passe de défi dans les clés du serveur Easy-RSA?
Et qu'en est-il des clés du client? Je vois qu'un
build-key-passexiste pour générer des clés client chiffrées, mais aucun équivalent serveur n'existe. Pourtant, les deuxbuild-keyetbuild-key-passdemander un mot de passe de challenge .
"Mot de passe de contestation" est une fonction obscure et généralement inutile. -> Laisser vide.
Si votre autorité de certification le permet, le Challenge Password sera exigé de toute personne qui tente de faire révoquer le certificat. - Mais d'après ce que je comprends, il y a peu ( ou aucun? ) AC qui utilisent réellement cela. ( Veuillez laisser un commentaire si vous savez le contraire. ) Alors laissez-le vide si vous n'êtes pas sûr.
Quelle est l'utilisation prévue d'un "mot de passe du défi"?
Pour autant que je le comprends, l'idée est la suivante:
Si vous avez un administrateur non autorisé qui a accès au certificat et à la clé, cet administrateur peut révoquer le certificat et DOS.
Mais si vous avez une autorité de certification qui mettra au défi l'administrateur non autorisé de fournir le "Mot de passe du défi" , alors l'administrateur non autorisé peut ne pas avoir ce mot de passe et vous suis à l'abri de ce DOS.
. connaître le mot de passe du défi .) (Mais gardez à l'esprit que vous devez toujours vous soucier d'un administrateur escroc qui possède votre certificat/clé. Beaucoup. Donc d'après ma compréhension, vous n'avez rien à gagner à avoir un "mot de passe de contestation" en premier lieu. - Corrigez-moi si je me trompe. J'ai l'impression qu'il me manque une idée essentielle ici. - Peut-être que cela signifie pour permettre la révocation par une personne détenant uniquement le certificat et le mot de passe, mais PAS la clé privée.)
Lectures complémentaires
La définition officielle (trop courte) est ici: RFC 2985: PKCS # 9: Classes d'objets sélectionnés et types d'attributs version 2.0, Section 5.4.1: Mot de passe de défi
La question revient régulièrement:
- https://superuser.com/questions/376179/confusion-with-pem-pass-phrase-and-challenge-password
- https://serverfault.com/questions/266232/what-is-a-challenge-password
Autre source:
- Randall Perry, liste de diffusion "OpenSSL-Users", 2014-05-22, Re: mot de passe du challenge CSR: à quoi ça sert?
La réponse la plus simple pour expliquer pourquoi le mot de passe vide est assez simple. vous ne serez pas là pour ENTRER ledit mot de passe lorsque le service démarre/redémarre. et la SEULE façon de faire fonctionner la clé de serveur de manière fiable dans ce scénario est d'avoir une clé vide.
c'est la même raison pour laquelle les clés de serveur HTTPS sont "vides" avec un mot de passe.