Mae proffil OpenVPN yn cynnwys tri bloc tystysgrif: pa un sy'n gyfrinachol?

Rydych yn agor ffeil .ovpn i newid un llinell ac yn dod o hyd i dri bloc o base64 sy'n edrych i gyd fel manylion mewngofnodi. Mae un yn ddiogel i'w gyhoeddi, mae un mor sensitif â chyfrinair, ac mae un yn allwedd gyhoeddus nad yw'n golygu dim oni bai bod rhywbeth arall wedi'i lofnodi â'i phâr. Mae pobl yn gludo'r ffeil gyfan i edefyn cymorth oherwydd bod y blociau'n edrych yn gyfnewidiol, a dyna sut mae allwedd cleient yn gorffen mewn archif gyhoeddus. Mae didoli pa floc sy'n gwneud beth yn esbonio'r rhan fwyaf o'r dryswch o amgylch y proffiliau hyn, ac mae hefyd yn dweud wrthych pa fethiannau sy'n eich un chi i'w trwsio.

Un ffeil, tri bloc, gwahanol swyddi

Mae proffil nodweddiadol yn mewnosod bloc ca, bloc cert a bloc key rhwng marciau BEGIN ac END, neu'n pwyntio at yr un tri fel ffeiliau ar wahân. Mae rhai proffiliau'n ychwanegu pedwerydd bloc ar gyfer allwedd tls-auth neu tls-crypt, sef cyfrinach a rennir yn hytrach na thystysgrif. Mae'r cleient yn darllen pob bloc yn ôl y gyfarwyddeb sy'n ei enwi, felly mae'r labeli'n bwysicach na'r drefn y maent yn ymddangos ynddi.

Triniwch y proffil wedi'i gydosod fel un sensitif nes eich bod wedi edrych y tu mewn mewn gwirionedd. Gall tystysgrif gyhoeddus ac allwedd breifat fod ychydig linellau oddi wrth ei gilydd yn yr un ffeil, a gall sgrinlun sy'n cynnwys y pennawd gynnwys y ddau. Mae cuddio'r base64 gweladwy â llaw yn annibynadwy hefyd, oherwydd mae bloc rhannol yn dal i ollwng y metadata tystysgrif sy'n enwi eich defnyddiad. Mae copïo'r tair cyfarwyddeb heb eu gwerthoedd fel arfer yn ddigon i ofyn cwestiwn defnyddiol.

Mae'r cyfarwyddiadau o amgylch y blociau'n penderfynu sut y cânt eu defnyddio. Newidiwch ca ac mae'r cleient yn ymddiried mewn awdurdod gwahanol; newidiwch cert heb newid key ac mae'r ysgwyd llaw yn methu ag anghysondeb nad oes ganddo ddim i'w wneud ag ymddiriedaeth.

Mae bloc CA yn gyhoeddus, allwedd CA byth

Mae awdurdod tystysgrifau yn llofnodi tystysgrifau sy'n rhwymo allwedd gyhoeddus i hunaniaeth, a'i dystysgrif ei hun yw'r angor y mae cleient yn ei ddefnyddio i benderfynu a yw cadwyn yn ddibynadwy. Mae'r dystysgrif honno'n gyhoeddus yn ôl y cynllun: mae ei hanfon y tu mewn i bob proffil yn normal, a dyna'r rheswm pam y gall defnyddiad hunanlofnodol weithio heb awdurdod masnachol.

Yr hyn na ddylai byth ymddangos mewn proffil cleient yw allwedd lofnodi breifat yr awdurdod. Nid oes ei hangen ar y cleient i ddilysu unrhyw beth, ac mae ei phresenoldeb yn golygu y gall pwy bynnag sy'n dal y proffil fathu hunaniaethau newydd ar gyfer y defnyddiad cyfan.

Mae ymddiried mewn awdurdod yn gulach nag y mae'n swnio hefyd. Bydd cleient sy'n derbyn unrhyw dystysgrif a lofnodwyd gan y CA yn dal i dderbyn tystysgrif a gyhoeddwyd ar gyfer gwasanaeth arall ar yr un CA. Mae opsiynau sy'n pinio rôl neu enw disgwyliedig y gweinydd yn cau'r bwlch hwnnw, ac mae'r Cyfeirlyfr opsiynau TLS yn rhestru'r cyfarwyddiadau dilysu sy'n gwneud hynny.

Mae tystysgrifau gweinydd a chleient yn pwyntio i gyfeiriadau croes

Tystysgrif y gweinydd yw'r hyn y mae'r cleient yn ei harchwilio i gadarnhau ei fod wedi cyrraedd y pen draw cywir. Mae eich tystysgrif cleient yn mynd y ffordd arall: mae'r gweinydd yn ei defnyddio i benderfynu bod y ddyfais neu'r defnyddiwr hwn yn un y mae wedi'i gofrestru. Yr un fformat, cyfeiriad ymddiriedaeth croes.

Nid yw cyfeiriad yn hunaniaeth. Nid yw cyrraedd yr IP cywir yn profi dim am bwy a atebodd, a dyna pam mae gwirio enw gwesteiwr neu enw tystysgrif yn dal i berthyn i'r proffil. Nid yw cyfrinair cyfrif yn disodli tystysgrif cleient ofynnol yn dawel chwaith, oherwydd bod y ddau'n cael eu gwirio ar wahanol gamau a gall defnyddiad ofyn am y ddau.

Allwedd breifat y cleient yw'r rhan sy'n rhaid iddi aros yn breifat. Os yw wedi bod yn agored o bosibl, nid yw dileu'r ffeil o'ch gliniadur yn newid dim ar y gweinydd, a fydd yn parhau i dderbyn y dystysgrif gyfatebol nes bod y gweithredwr yn ei dirymu. Gofyn i'r gweithredwr amnewid neu ddirymu'r hunaniaeth honno yw'r unig atgyweiriad sy'n teithio gyda chi.

Dau anogydd sy'n edrych yn unfath ac nad ydynt

Mae allwedd a storiwyd ar ffurf amgryptiedig yn gofyn am gyfrinymadrodd cyn y gall y cleient ei defnyddio. Gall y gwasanaeth VPN ofyn ar wahân am gyfrinair cyfrif, a gall y ddau anogydd ymddangos eiliadau ar wahân gyda bron yr un geiriad. Mae'r cyfrinymadrodd yn amddiffyn ffeil ar eich disg; mae'r cyfrinair yn profi cyfrif i weinydd. Mae eu drysu yn anfon pobl at ailosodiadau cyfrinair na allant byth helpu.

Darllenwch yr anogydd cyn ailosod unrhyw beth. Nid yw ailosod cyfrinair cyfrif yn gwneud dim i gyfrinymadrodd allwedd a anghofiwyd, i dystysgrif a ddirymwyd nac i un sydd wedi dod i ben, ac mae ailosod y cyfrinair pan fo'r methiant yn ddilysu tystysgrif yn troi atgyweiriad dau funud yn achos cymorth. Os yw'r gŵyn yn sôn am ddyddiadau dilysrwydd, gwiriwch gloc y ddyfais yn gyntaf, yna ffenestr y dystysgrif a enwyd.

Pan fo'r dystysgrif wedi dod i ben mewn gwirionedd, rhaid i'r amnewidiad ddod oddi wrth bwy bynnag a'i cyhoeddodd. Nid yw allwedd sy'n perthyn i rywun arall yn llwybr adnewyddu, ac nid yw benthyca proffil sy'n gweithio gan gydweithiwr ychwaith.

Beth mae ysgwyd llaw glân yn ei brofi ac nad yw'n ei brofi

Mae cyrraedd ysgwyd llaw TLS wedi'i chwblhau yn golygu bod y berthynas hunaniaeth a ffurfweddwyd wedi dal: tystysgrif y gweinydd wedi cadwyno i'ch CA a'ch tystysgrif wedi'i derbyn. Nid yw'n dweud dim am bolisi logio'r gweithredwr, ac yn ddim am a fydd eich cymwysiadau'n gweithio unwaith y bydd y tiwnel i fyny.

Mae llwybrau a DNS yn gamau diweddarach o'r cysylltiad, felly mae gwesteiwr mewngrwyd anghyraeddadwy ar ôl mewngofnodi llwyddiannus yn broblem cysylltedd yn hytrach na phroblem tystysgrif. Gweithiwch ar y haen honno yn lle cyfnewid manylion mewngofnodi, a chadwch darddiad y proffil, ei ddeunydd preifat a'i wiriadau hunaniaeth gyda'i gilydd pan fyddwch yn ei roi i rywun.