Niyə ca.key faylının hər VPN müştərisinə kopyalanması CA-nı sındırır

Quraşdırma təlimatlarının bir yerində bütöv bir qovluq hər noutbuka kopyalanır, çünki bu, hansı faylların orada olması lazım olduğuna qərar verməkdən asan idi. Həmin qovluqda ca.key faylı var və o, ikinci cihaza çatan anda sertifikat orqanı orqan olmaqdan çıxır. Artıq hər sahib şəbəkənin qalan hissəsinin etibar edəcəyi kimliklər buraxa bilər.

Bu qarışıqlığı bir dəfə açmağa dəyər, çünki iki fayl görünüşcə oxşar, işləyiscə əksdir.

Yoxlama materialı və imzalama materialı

Müştəriyə CA-nın açıq sertifikatı qarşı tərəfin təqdim etdiyi sertifikatın həmin orqan tərəfindən imzalandığını yoxlamaq üçün lazımdır. Bu, yoxlama işidir və heç bir sirr tələb etmir. Qarşı tərəfin sertifikatını imzalamaq başqa işdir: CA-nı idarə edən şəxs tərəfindən bir dəfə, qorunan yaddaşdan heç vaxt çıxmayan şəxsi açarla yerinə yetirilir. Bu iki işi ayrı saxlamaq iki fayl göndərməyin bütün məntiqidir.

Yəni ca.crt profilə aiddir, ca.key isə ona yaxın heç bir yerə aid deyil. Fayl adları bir konvensiyadır, zəmanət deyil; buna görə növü addan çıxarmaqla deyil, yoxlamaqla müəyyən etmək lazımdır.

Aralıq CA və ya onlayn buraxılış xidməti olan arxitektura bunun istisnası deyil. Bu, cihaz sertifikatları geniş miqyasda buraxılarkən imzalama qabiliyyətini son nöqtələrdən uzaq saxlamağın standart yoludur.

Müştəri öz açarı ilə nəyi sübut etməlidir

Hər cihaz öz açar cütünü və öz sertifikatını alır, bir dəfə CA tərəfindən imzalanır. Müştəri həmin sertifikatı təqdim edir və uyğun şəxsi açarın ona məxsus olduğunu sübut edir, server isə qəbul edib-etməməyi qərarlaşdırır. Noutbuk itəndə ləğv edilən şəxsiyyət elə budur.

Bu fərq ən çox oğurluqdan sonra önəm daşıyır. Cihaz başına şəxsiyyətlərlə bir açıq müştəri ləğv və ya qarşı tərəfin çıxarılması ilə silinir, donanmanın qalan hissəsi isə işləməyə davam edir.

Sızdırılmış orqan açarını bu cür idarə etmək olmaz. Onun bu günə qədər imzaladığı və ya imzalaya biləcəyi hər sertifikat şübhə altına düşür, ona görə cavab tək bir ləğv deyil, etimadın dəyişdirilməsidir. Bu, bilet deyil, layihədir.

Faylı hər hansı yerə kopyalamazdan əvvəl oxuyun

İki əmr heç bir sirr çap etmədən əlində hansı növ obyekt olduğunu deyir. Birincisi sertifikatdakı subyekti və CA bayrağını göstərir; ikincisi açarı yoxlayır və növünü bildirir. Hər ikisini paylamaq üzrə olduğunuz paketdəki fayllar üzərində işlədin. Şəxsi açar kimi yoxlanan hər şey müştəri qovluğuna aid deyil.

openssl x509 -in ca.crt -noout -subject -ext basicConstraints
openssl pkey -in ca.key -noout -check

İkinci əmr müştəri paketində duran bir fayl üzərində uğurla işləsə, dayanın və paketi kompromisə uğramış sayın. Açarın etibarlı olduğunu deyən çıxış həm də onun mövcud olduğunu deyir, mövcudluq isə bütün problemdir.

Əks istiqamətə də diqqət yetirin: müştəri profili həmin müştərinin öz şəxsi açarını qanuni şəkildə saxlayır. Tapdığınız hər açarı silmək bağlantını heç nə yaxşılaşdırmadan pozur, ona görə obyekt silinməzdən əvvəl müəyyən edilməlidir.

Artıq payladığınız açarı məhdudlaşdırmaq

Yerli nüsxənin silinməsinin məruz qalmanı geri çevirdiyini güman etməyin. Faylı əldə edən hər kəs onu kopyalaya bilərdi və təhlükəsiz fərziyyə budur ki, kopyalayıb. Operatorun insident prosesini izləyin və etimad ankerini dəyişdirin, cihaz sertifikatlarını yeni CA altında yenidən buraxın.

Sonra problemi yaradan qablaşdırmanı dəyişin. Açıq fayl icazə siyahısı ilə qovluq siyahısı göndərin, CA açarını heç vaxt müştəri donanmasına qoşulmayan maşında saxlayın və hansı sistemin onu saxladığını qeyd edin.

Orqan tez-tez buraxılış etməlidirsə, imzalamanı dar əhatəli və qısa etibarlı bir xidmətin və ya aralıq orqanın arxasına keçirin. Beləliklə gələcək bir səhv bütün yerləşdirmənin etimad kökü yerinə buraxılışın bir hissəsini açıq edir.