VPN üçün öz-imzalı və ictimai CA: həqiqətən nə dəyişir

VPN quraşdırmasının sertifikat səhifəsinə çatırsınız, pulsuz öz-imzalı seçimin yanında ödənişli ictimai CA görürsünüz və sual təhlükəsizlik seçimi kimi səslənir. Əslində bu, auditoriya seçimidir. Hər iki variant tuneli eyni kriptoqrafik bünövrələrlə şifrələyir və hər ikisi şəxsi açar sızarsa dəyərsiz olur. Onları ayıran, serverin kimliyi barədə iddianı kimin irəli sürməsi və bu iddianı yoxlaya biləcək vəziyyətdə kimin olmasıdır.

Sertifikat bir-birinə qarışdırılan iki iş görür

Sertifikat açıq açarı ada bağlayır, şifrələmə və imzalama işini isə açar görür. Sertifikatdakı imza ayrı bir bəyanatdır: hansısa səlahiyyətli qurum adın bu açar sahibinə aid olduğunu yoxlayıb. Öz-imzalı sertifikat bu bəyanatı özü haqqında verir, bu isə heç bir üçüncü tərəf iddiası deyil.

İctimai veb saytlar üçüncü tərəf versiyasına ehtiyac duyur, çünki ziyarətçilər əvvəlcədən əlaqə olmadan gəlir və brauzerin etibar anbarına arxalanır. VPN müştərisi yad adam deyil. Siz ona CA sertifikatını verirsiniz və ya quraşdırdığı profilin içində server sertifikatını bərkidirsiniz, beləliklə yoxlama tam olaraq seçdiyiniz səlahiyyətə qarşı aparılır. Bu yoxlamanın mənası olması üçün heç bir kommersiya CA iştirak etməməlidir.

Yaranan sessiyanın gücü imzalayanadan deyil, açar ölçüsündən və şifrə dəstindən gəlir. Buna görə öz-imzalı sertifikatı "daha az şifrələnmiş" adlandırmaq sadəcə səhvdir; o, daha az geniş zəmanətə malikdir və bu, fərqli bir xüsusiyyətdir.

İctimai CA haqqını harada qazanır

Ən aydın hal idarəetmə səhifəsidir. Əgər həmkarlar, podratçılar və ya hazır profili olmayan hər hansı biri VPN serverinin veb interfeysini brauzer xəbərdarlığı olmadan açmalıdırsa, ictimai etimada malik sertifikat bu sürtünməni aradan qaldırır. Brauzer artıq imzalayana etibar edir, ona görə idxal ediləcək və izah ediləcək heç nə yoxdur.

Bu rahatlığın almazdan əvvəl adlandırılmağa dəyər xərcləri var. Yeniləmə avtomatlaşdırılmalıdır, əks halda sayt cədvəl üzrə sıradan çıxır, ictimai sertifikatlar host adını sertifikat şəffaflığı jurnallarında ifşa edir və buraxılış dərəcəsi limitləri çox həvəslə yenidən cəhd edən skripti cəzalandırır. Bunların heç biri ictimai CA-dan qaçmaq üçün səbəb deyil, lakin özəl CA-nın başqa yerə köçürdüyü əməliyyat işidir.

İctimai sertifikatın etmədiyi şey istifadəçilərinizi autentifikasiya etməkdir. Müştəri kimliyi ayrı bir qərardır, müştəri sertifikatları, parollar və ya ikinci faktorla verilir və serveri imzalayan CA kimin ona qoşula biləcəyi barədə heç nə demir.

Özəl CA VPN-ə harada uyğun gəlir

Müştəriləri məlum olan özəl VPN üçün öz CA-nızı idarə etmək adi seçimdir. CA-nı bir dəfə yaradırsınız, server sertifikatını müştərilərin istifadə edəcəyi adla imzalayırsınız və CA sertifikatını hər profilin içində paylayırsınız. Sonra hər müştəri serveri sizin səlahiyyətinizə qarşı yoxlayır və kənar heç bir tərəf host adını öyrənmir.

Xərclər realdır, amma məhduddur. Kimsə idarəetmə səhifəsini birbaşa açanda brauzerlər xəbərdarlıq edəcək, çünki brauzerin sizin CA-nıza etibar etməyə heç bir səbəbi yoxdur. Profil paylanması işə qəbul prosesinin hissəsinə çevrilir və CA-nı fırlatmaq hər müştəriyə toxunmaq deməkdir. Bunlar on və ya əlli məlum istifadəçisi olan xidmət üçün məqbul qiymətlərdir və minlərlə istifadəçisi olan ictimai son nöqtə üçün ağrılıdır.

Bir şərt bütün tədbiri etibarlı edir: yoxlama baş verməlidir. Sertifikat səhvlərini nəzərə almamaq üçün konfiqurasiya edilmiş müştəri hər hansı sertifikat təqdim edən istənilən serveri qəbul edir, beləliklə kimlik zəmanəti yox olur, şifrələmə isə qalır. Bu ayar əksər "öz-imzalı etibarsızdır" hekayələrindəki əsl zəiflikdir.

CA şəxsi açarı sonradan nə edə biləcəyinizi müəyyən edir

Sürpriz adətən aylar sonra, cihaz əlavə etmək istədiyiniz zaman gəlir. Müştəri sertifikatı vermək CA şəxsi açarını tələb edir, ləğvetmə siyahısı hazırlamaq da. Sertifikat və açar faylları olan, amma CA açarı olmayan serveri miras almısınızsa, yeni heç nə imzalaya bilməzsiniz. Seçimləriniz PKI-ni yenidən qurub hər müştəriyə yeni CA sertifikatı vermək və ya parol autentifikasiyasına keçməkdir; bu, fərqli təhlükəsizlik modelidir və itiriləni bərpa etmir.

Eyni ərazidə iki kiçik tələ var. easy-rsa skriptləri onları saxlayan qovluqda durduğunuzu güman edir, ona görə fayl tapılmadı xətası adətən zədəli quraşdırma deyil, səhv məkan deməkdir. Və yalnız sertifikatlara əsaslanan dizayn tamamilə qanunidir: hər müştərinin bir dənəsi olması və serverin zənciri yoxlaması şərti ilə əvvəlcədən paylaşılan açar olmadan müştəri sertifikatları tələb edə bilərsiniz.

Bütün komanda üçün bir ümumi müştəri sertifikatı əvəzinə hər cihaz üçün bir sertifikat verin. Onda itirilmiş noutbuk sizə hamı üçün yenidən buraxılış yerinə tək bir ləğvetməyə başa gəlir.

Miras aldığınızı yoxlayın

Hər hansı dəyişikliyi planlaşdırmadan əvvəl artıq malik olduğunuz sertifikatı oxuyun:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Əgər buraxan subyektə bərabərdirsə, sertifikat öz-imzalıdır, bu qüsur deyil, dizayn seçimidir. Tarixlər yeniləmənin nə vaxt kiminsə problemi olacağını deyir və göndərməyi planlaşdırdığınız CA-ya qarşı uğurlu yoxlama zəncirin hər hansı müştəri sınamazdan əvvəl işlədiyini təsdiqləyir.

Sonra auditoriya və paylanmaya görə seçin: naməlum brauzerlər idarəetmə səhifəsinə etibar etməli olduqda ictimai CA, hər müştəri sizin nəzarət etdiyiniz profil aldıqda özəl CA. Heç bir cavab digərindən daha şifrələnmiş deyil.