Hunan-lofnodedig yn erbyn CA cyhoeddus ar gyfer VPN: beth sy'n newid mewn gwirionedd

Rydych yn cyrraedd tudalen tystysgrifau gosodiad VPN, yn gweld opsiwn hunan-lofnodedig am ddim wrth ymyl CA cyhoeddus taledig, ac mae'r cwestiwn yn swnio fel dewis diogelwch. Dewis cynulleidfa yw e mewn gwirionedd. Mae'r ddau opsiwn yn amgryptio'r tiwnel gyda'r un primitifau cryptograffig, ac mae'r ddau yn dod yn ddiwerth os bydd yr allwedd breifat yn gollwng. Yr hyn sy'n eu gwahanu yw pwy sy'n gwneud yr honiad am hunaniaeth y gweinydd, a phwy sydd mewn sefyllfa i wirio'r honiad hwnnw.

Mae tystysgrif yn gwneud dau waith sy'n cael eu cymysgu

Mae tystysgrif yn clymu allwedd gyhoeddus i enw, a'r allwedd sy'n gwneud y gwaith amgryptio ac arwyddo. Mae'r llofnod ar y dystysgrif yn ddatganiad ar wahân: mae rhyw awdurdod wedi gwirio bod yr enw'n perthyn i'r deiliad allwedd hwn. Mae tystysgrif hunan-lofnodedig yn gwneud y datganiad hwnnw amdani'i hun, nad yw'n honiad trydydd parti o gwbl.

Mae angen y fersiwn trydydd parti ar wefannau cyhoeddus, oherwydd mae ymwelwyr yn cyrraedd heb berthynas flaenorol ac yn dibynnu ar storfa ymddiriedaeth porwr. Nid yw cleient VPN yn ddieithryn. Rydych yn rhoi'r dystysgrif CA iddo, neu'n pinio tystysgrif y gweinydd, y tu mewn i'r proffil y mae'n ei osod, felly mae'r gwirio'n rhedeg yn erbyn yr awdurdod a ddewisoch yn union. Nid oes angen i unrhyw CA masnachol fod yn rhan am i'r gwiriad hwnnw olygu rhywbeth.

Mae cryfder y sesiwn sy'n deillio yn dod o faint yr allwedd a'r swît amgryptio, nid oddi wrth yr arwyddwr. Dyna pam mae galw tystysgrif hunan-lofnodedig yn "llai amgryptiedig" yn syml yn anghywir; mae'n cael ei gwarantu'n llai eang, sy'n briodwedd wahanol.

Lle mae CA cyhoeddus yn ennill ei ffi

Yr achos cliriaf yw'r dudalen weinyddu. Os oes rhaid i gydweithwyr, contractwyr neu unrhyw un arall heb broffil parod agor rhyngwyneb gwe gweinydd VPN heb rybudd porwr, mae tystysgrif sy'n cael ei hymddiried yn gyhoeddus yn dileu'r ffrithiant hwnnw. Mae'r porwr eisoes yn ymddiried yn yr arwyddwr, felly nid oes unrhyw beth i'w fewnforio a dim i'w egluro.

Mae gan y cyfleustra hwnnw gostau sy'n werth eu henwi cyn i chi brynu. Rhaid awtomeiddio adnewyddiad neu mae'r safle'n torri ar amserlen, mae tystysgrifau cyhoeddus yn datguddio'r enw gwesteiwr mewn logiau tryloywder tystysgrifau, ac mae terfynau cyfradd cyhoeddi yn cosbi sgript sy'n ailgynnig yn rhy awyddus. Nid yw'r un o'r rhain yn rheswm i osgoi CA cyhoeddus, ond maent yn waith gweithredol y mae CA preifat yn ei symud i rywle arall.

Yr hyn nad yw tystysgrif gyhoeddus yn ei wneud yw dilysu eich defnyddwyr. Mae hunaniaeth y cleient yn benderfyniad ar wahân, a wneir gyda thystysgrifau cleient, cyfrineiriau neu ail ffactor, ac nid yw'r CA sy'n arwyddo'r gweinydd yn dweud dim am bwy sy'n cael cysylltu ag ef.

Lle mae CA preifat yn ffitio VPN

Ar gyfer VPN preifat gyda set hysbys o gleientiaid, rhedeg eich CA eich hun yw'r dewis confensiynol. Rydych yn creu'r CA unwaith, yn arwyddo tystysgrif y gweinydd gydag enw y bydd y cleientiaid yn ei ddefnyddio, ac yn dosbarthu tystysgrif y CA ym mhob proffil. Yna mae pob cleient yn gwirio'r gweinydd yn erbyn eich awdurdod, ac nid oes unrhyw barti allanol yn dysgu'r enw gwesteiwr.

Mae'r costau'n real ond yn gyfyngedig. Bydd porwyr yn rhybuddio pan fydd rhywun yn agor y dudalen weinyddu'n uniongyrchol, oherwydd nid oes gan y porwr reswm i ymddiried yn eich CA. Daw dosbarthu proffil yn rhan o'r broses ymuno, ac mae cylchdroi'r CA yn golygu cyffwrdd â phob cleient. Mae'r rhain yn brisiau derbyniol ar gyfer gwasanaeth â deg neu hanner cant o ddefnyddwyr hysbys ac yn boenus ar gyfer pwynt terfyn cyhoeddus â miloedd.

Mae un amod yn gwneud y trefniad cyfan yn ddilys: rhaid i'r gwirio ddigwydd. Mae cleient wedi'i ffurfweddu i anwybyddu gwallau tystysgrif yn derbyn unrhyw weinydd sy'n cyflwyno unrhyw dystysgrif, felly mae'r warant hunaniaeth yn diflannu tra bod yr amgryptio'n aros. Y gosodiad hwnnw yw'r gwir wendid yn y rhan fwyaf o straeon "mae hunan-lofnodedig yn ansegur".

Mae allwedd breifat y CA yn penderfynu beth allwch chi ei wneud yn ddiweddarach

Mae'r syrpreis fel arfer yn cyrraedd fisoedd yn ddiweddarach, pan fyddwch am ychwanegu dyfais. Mae cyhoeddi tystysgrif cleient angen allwedd breifat y CA, ac felly hefyd cynhyrchu rhestr ddirymu. Os ydych wedi etifeddu gweinydd sydd â ffeiliau'r dystysgrif a'r allwedd ond nid allwedd y CA, ni allwch arwyddo unrhyw beth newydd. Eich opsiynau yw ailadeiladu'r PKI a rhoi tystysgrif CA newydd i bob cleient, neu newid i ddilysu â chyfrinair, sy'n fodel diogelwch gwahanol ac nad yw'n adfer yr hyn a gollwyd.

Mae dau fagl llai yn byw yn yr un diriogaeth. Mae sgriptiau easy-rsa yn tybio eich bod yn sefyll yn y cyfeiriadur sy'n eu dal, felly mae gwall ffeil ar goll fel arfer yn golygu'r lleoliad anghywir yn hytrach na gosodiad difrodedig. Ac mae dyluniad tystysgrif yn unig yn hollol gyfreithlon: gallwch fynnu tystysgrifau cleient heb allwedd a rennir ymlaen llaw, ar yr amod bod gan bob cleient un a bod y gweinydd yn gwirio'r gadwyn.

Cyhoeddwch un dystysgrif fesul dyfais yn hytrach nag un dystysgrif cleient a rennir ar gyfer y tîm cyfan. Yna mae gliniadur coll yn costio un dirymiad yn unig ichi yn lle ailgyhoeddi i bawb.

Gwiriwch beth a etifeddwyd gennych

Cyn cynllunio unrhyw newid, darllenwch y dystysgrif sydd gennych yn barod:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Os yw'r cyhoeddwr yn hafal i'r pwnc, mae'r dystysgrif yn hunan-lofnodedig, sy'n ddewis dylunio yn hytrach na diffyg. Mae'r dyddiadau'n dweud wrthych pryd y daw adnewyddu'n broblem i rywun, ac mae gwirio llwyddiannus yn erbyn y CA yr ydych yn bwriadu ei gludo yn cadarnhau bod y gadwyn yn gweithio cyn i unrhyw gleient ei thrio.

Yna dewiswch yn ôl cynulleidfa a dosbarthiad: CA cyhoeddus pan fo'n rhaid i borwyr anhysbys ymddiried yn y dudalen weinyddu, CA preifat pan fydd pob cleient yn derbyn proffil a reolir gennych. Nid yw'r naill ateb yn fwy amgryptiedig na'r llall.