OpenVPN profilində üç sertifikat bloku var: hansı gizlidir?

.ovpn faylını bir sətri dəyişmək üçün açırsınız və hamısı etimad məlumatına bənzəyən üç base64 bloku görürsünüz. Biri dərc etmək üçün təhlükəsizdir, biri parol qədər həssasdır, biri isə cütü ilə başqa bir şey imzalamasa heç bir məna daşımayan açıq açardır. İnsanlar bütün faylı dəstək müzakirəsinə yapışdırır, çünki bloklar bir-birini əvəz edilə bilən görünür və müştəri açarı məhz belə ictimai arxivdə qalır. Hansı blokun nə etdiyini ayırd etmək bu profillər ətrafındakı qarışıqlığın çoxunu izah edir və hansı nasazlıqların sizin düzəltməli olduğunuzu da deyir.

Bir fayl, üç blok, fərqli işlər

Tipik profil BEGIN və END işarələri arasında ca bloku, cert bloku və key bloku yerləşdirir və ya eyni üçlüyə ayrı fayllar kimi işarə edir. Bəzi profillər tls-auth və ya tls-crypt açarı üçün dördüncü blok əlavə edir; bu, sertifikat deyil, ortaq sirdir. Müştəri hər bloku onu adlandıran direktivə görə oxuyur, yəni adlar onların görünmə sırasından daha vacibdir.

Yığılmış profili içinə həqiqətən baxmayana qədər həssas hesab edin. Açıq sertifikat və şəxsi açar eyni faylda bir neçə sətir aralıqda ola bilər və başlığı əhatə edən ekran görüntüsü hər ikisini də göstərə bilər. Görünən base64-ü əl ilə silmək də etibarsızdır, çünki qismən blok belə yerləşdirmənizi adlandıran sertifikat metadatasını sızdırır. Üç direktivi dəyərləri olmadan kopyalamaq adətən faydalı sual vermək üçün kifayətdir.

Blokların ətrafındakı direktivlər onların necə istifadə olunduğunu müəyyən edir. ca-nı dəyişin və müştəri başqa bir orqana etibar edər; key-i dəyişmədən cert-i dəyişin və əl sıxma etimadla heç bir əlaqəsi olmayan uyğunsuzluqla uğursuz olar.

CA bloku açıqdır, CA açarı heç vaxt

Sertifikat orqanı açıq açarı kimliyə bağlayan sertifikatlar imzalayır və onun öz sertifikatı müştərinin zəncirin etibarlı olub olmadığını qərar vermək üçün istifadə etdiyi dayaqdır. Həmin sertifikat dizayn etibarilə açıqdır: onu hər profilin içində göndərmək normaldır və özünü imzalamış yerləşdirmənin kommersiya orqanı olmadan işləməsinin səbəbi budur.

Müştəri profilində heç vaxt görünməməli olan şey orqanın şəxsi imzalama açarıdır. Müştəri onu heç nəyi yoxlamaq üçün istifadə etmir və onun olması profili saxlayan hər kəsin bütün yerləşdirmə üçün yeni kimliklər yarada bilməsi deməkdir.

Bir orqana etibar etmək göründüyü qədər geniş deyil. CA-nın imzaladığı istənilən sertifikatı qəbul edən müştəri həmin CA-da başqa xidmət üçün verilmiş sertifikatı da qəbul edəcək. Gözlənilən server rolunu və ya adını bərkidən seçimlər bu boşluğu bağlayır və TLS seçimləri arayışı bunu edən yoxlama direktivlərini sadalayır.

Server və müştəri sertifikatları əks istiqamətlərə baxır

Serverin sertifikatı müştərinin düzgün son nöqtəyə çatdığını təsdiqləmək üçün yoxladığı şeydir. Sizin müştəri sertifikatınız əks istiqamətdə işləyir: server ondan bu cihazın və ya istifadəçinin qeydiyyata aldığı biri olduğunu qərar vermək üçün istifadə edir. Eyni format, əks etimad istiqaməti.

Ünvan kimlik deyil. Düzgün IP-yə çatmaq kimin cavab verdiyini heç nə ilə sübut etmir, buna görə də host adının və ya sertifikat adının yoxlanması hələ də profilə aiddir. Hesab parolu da tələb olunan müştəri sertifikatını səssizcə əvəz etmir, çünki ikisi fərqli mərhələlərdə yoxlanılır və yerləşdirmə hər ikisini tələb edə bilər.

Müştəri şəxsi açarı gizli qalmalı olan hissədir. Əgər o, açılmış ola bilərsə, faylı noutbukunuzdan silmək serverdə heç nəyi dəyişmir; server uyğun sertifikatı operator onu ləğv edənə qədər qəbul etməyə davam edəcək. Operatoru həmin kimliyi dəyişməyə və ya ləğv etməyə xahiş etmək sizinlə gedən yeganə həldir.

Eyni görünən və eyni olmayan iki sorğu

Şifrələnmiş formada saxlanan açar müştəri onu istifadə etməzdən əvvəl parol ifadəsi tələb edir. VPN xidməti ayrıca hesab parolu tələb edə bilər və iki sorğu bir neçə saniyə fərqlə, demək olar eyni ifadə ilə görünə bilər. Parol ifadəsi diskinizdəki faylı qoruyur; parol isə serverə hesabı sübut edir. Onları qarışdırmaq insanları heç bir faydası olmayan parol sıfırlamalarına göndərir.

Hər hansı şeyi sıfırlamazdan əvvəl sorğunu oxuyun. Hesab parolunun sıfırlanması unudulmuş açar ifadəsi, ləğv edilmiş və ya müddəti bitmiş sertifikat üçün heç nə etmir və nasazlıq sertifikat yoxlaması olduqda parolu sıfırlamaq iki dəqiqəlik düzəlişi dəstək işinə çevirir. Şikayət etibarlılıq tarixlərindən bəhs edirsə, əvvəlcə cihazın saatını, sonra adı çəkilən sertifikatın öz pəncərəsini yoxlayın.

Sertifikatın müddəti həqiqətən bitibsə, əvəzləmə onu verən tərəfdən gəlməlidir. Başqasına aid açar yeniləmə yolu deyil və işlək profili həmkarınızdan borc almaq da deyil.

Təmiz əl sıxmanın sübut etdiyi və etmədiyi şeylər

Tamamlanmış TLS əl sıxmasına çatmaq konfiqurasiya edilmiş kimlik əlaqəsinin qorunduğunu bildirir: server sertifikatı CA-nıza zəncirləndi və sertifikatınız qəbul edildi. Bu, operatorun jurnal siyasəti haqqında heç nə demir və tunel qalxdıqdan sonra tətbiqlərinizin işləyib-işləməyəcəyi barədə də heç nə demir.

Marşrutlar və DNS bağlantının sonrakı mərhələləridir, ona görə də uğurlu girişdən sonra əlçatmaz intranet hostu sertifikat deyil, bağlantı problemidir. Etimad məlumatlarını dəyişmək əvəzinə həmin qatla işləyin və profili kiməsə verərkən onun mənbəyini, şəxsi materialını və kimlik yoxlamalarını birlikdə saxlayın.