Ένα προφίλ OpenVPN έχει τρία μπλοκ πιστοποιητικών: ποιο είναι μυστικό;

Ανοίγετε ένα αρχείο .ovpn για να αλλάξετε μία γραμμή και βρίσκετε τρία μπλοκ base64 που μοιάζουν όλα με διαπιστευτήρια. Ένα είναι ασφαλές να δημοσιευτεί, ένα είναι τόσο ευαίσθητο όσο ένας κωδικός πρόσβασης, και ένα είναι δημόσιο κλειδί που δεν σημαίνει τίποτα αν κάτι άλλο δεν έχει υπογραφεί με το ταίρι του. Οι άνθρωποι επικολλούν ολόκληρο το αρχείο σε ένα νήμα υποστήριξης επειδή τα μπλοκ φαίνονται εναλλάξιμα, και έτσι ένα κλειδί πελάτη καταλήγει σε δημόσιο αρχείο. Η διάκριση του τι κάνει κάθε μπλοκ εξηγεί το μεγαλύτερο μέρος της σύγχυσης γύρω από αυτά τα προφίλ και σας λέει και ποιες αστοχίες πρέπει να διορθώσετε εσείς.

Ένα αρχείο, τρία μπλοκ, διαφορετικές δουλειές

Ένα τυπικό προφίλ ενσωματώνει ένα μπλοκ ca, ένα μπλοκ cert και ένα μπλοκ key ανάμεσα σε δείκτες BEGIN και END, ή παραπέμπει στα ίδια τρία ως ξεχωριστά αρχεία. Ορισμένα προφίλ προσθέτουν ένα τέταρτο μπλοκ για κλειδί tls-auth ή tls-crypt, που είναι κοινό μυστικό και όχι πιστοποιητικό. Ο πελάτης διαβάζει κάθε μπλοκ σύμφωνα με την οδηγία που το ονομάζει, οπότε οι ετικέτες μετράνε περισσότερο από τη σειρά εμφάνισης.

Αντιμετωπίστε το συναρμολογημένο προφίλ ως ευαίσθητο έως ότου κοιτάξετε πραγματικά μέσα. Ένα δημόσιο πιστοποιητικό και ένα ιδιωτικό κλειδί μπορούν να βρίσκονται λίγες γραμμές μακριά στο ίδιο αρχείο, και ένα στιγμιότυπο οθόνης που περιλαμβάνει την κεφαλίδα μπορεί να περιλαμβάνει και τα δύο. Το να καλύψετε με το χέρι το ορατό base64 είναι επίσης αναξιόπιστο, γιατί ένα μερικό μπλοκ διαρρέει ακόμη τα μεταδεδομένα του πιστοποιητικού που ονομάζουν την εγκατάστασή σας. Η αντιγραφή των τριών οδηγιών χωρίς τις τιμές τους αρκεί συνήθως για μια χρήσιμη ερώτηση.

Οι οδηγίες γύρω από τα μπλοκ καθορίζουν πώς χρησιμοποιούνται. Αλλάξτε το ca και ο πελάτης εμπιστεύεται άλλη αρχή· αλλάξτε το cert χωρίς να αλλάξετε το key και η χειραψία αποτυγχάνει με αναντιστοιχία που δεν έχει καμία σχέση με την εμπιστοσύνη.

Το μπλοκ CA είναι δημόσιο, το κλειδί CA ποτέ

Μια αρχή πιστοποίησης υπογράφει πιστοποιητικά που δεσμεύουν ένα δημόσιο κλειδί σε μια ταυτότητα, και το δικό της πιστοποιητικό είναι η άγκυρα με την οποία ο πελάτης αποφασίζει αν μια αλυσίδα είναι αξιόπιστη. Αυτό το πιστοποιητικό είναι δημόσιο εκ σχεδιασμού: η αποστολή του μέσα σε κάθε προφίλ είναι φυσιολογική, και γι’ αυτό μια αυτοϋπογεγραμμένη εγκατάσταση μπορεί να λειτουργήσει χωρίς εμπορική αρχή.

Αυτό που δεν πρέπει ποτέ να εμφανίζεται σε προφίλ πελάτη είναι το ιδιωτικό κλειδί υπογραφής της αρχής. Ο πελάτης δεν το χρειάζεται για κανέναν έλεγχο, και η παρουσία του σημαίνει ότι όποιος κρατά το προφίλ μπορεί να κόψει νέες ταυτότητες για ολόκληρη την εγκατάσταση.

Η εμπιστοσύνη σε μια αρχή είναι επίσης στενότερη απ’ ό,τι ακούγεται. Ένας πελάτης που δέχεται οποιοδήποτε πιστοποιητικό υπογεγραμμένο από την CA θα δεχτεί ακόμη πιστοποιητικό που εκδόθηκε για άλλη υπηρεσία στην ίδια CA. Επιλογές που καρφιτσώνουν τον αναμενόμενο ρόλο ή όνομα του διακομιστή κλείνουν αυτό το κενό, και η Αναφορά επιλογών TLS απαριθμεί τις οδηγίες επαλήθευσης που το κάνουν.

Τα πιστοποιητικά διακομιστή και πελάτη δείχνουν σε αντίθετες κατευθύνσεις

Το πιστοποιητικό του διακομιστή είναι αυτό που εξετάζει ο πελάτης για να επιβεβαιώσει ότι έφτασε στο σωστό τελικό σημείο. Το δικό σας πιστοποιητικό πελάτη πάει αντίστροφα: ο διακομιστής το χρησιμοποιεί για να αποφασίσει ότι αυτή η συσκευή ή ο χρήστης είναι κάτι που έχει καταγράψει. Ίδια μορφή, αντίθετη κατεύθυνση εμπιστοσύνης.

Μια διεύθυνση δεν είναι ταυτότητα. Το να φτάσετε στη σωστή διεύθυνση IP δεν αποδεικνύει τίποτα για το ποιος απάντησε, γι’ αυτό ο έλεγχος ονόματος κεντρικού υπολογιστή ή ονόματος πιστοποιητικού ανήκει ακόμη στο προφίλ. Ούτε ο κωδικός πρόσβασης λογαριασμού αντικαθιστά σιωπηλά ένα απαιτούμενο πιστοποιητικό πελάτη, γιατί τα δύο ελέγχονται σε διαφορετικά στάδια και μια εγκατάσταση μπορεί να απαιτεί και τα δύο.

Το ιδιωτικό κλειδί του πελάτη είναι το μέρος που πρέπει να μείνει ιδιωτικό. Αν μπορεί να έχει εκτεθεί, η διαγραφή του αρχείου από τον φορητό σας δεν αλλάζει τίποτα στον διακομιστή, ο οποίος θα συνεχίσει να δέχεται το αντίστοιχο πιστοποιητικό έως ότου ο διαχειριστής το ανακαλέσει. Το να ζητήσετε από τον διαχειριστή να αντικαταστήσει ή να ανακαλέσει αυτή την ταυτότητα είναι η μόνη διόρθωση που ταξιδεύει μαζί σας.

Δύο προτροπές που μοιάζουν ίδιες και δεν είναι

Ένα κλειδί αποθηκευμένο σε κρυπτογραφημένη μορφή ζητά μια φράση πρόσβασης πριν ο πελάτης μπορέσει να το χρησιμοποιήσει. Η υπηρεσία VPN μπορεί να ζητήσει ξεχωριστά κωδικό λογαριασμού, και οι δύο προτροπές μπορούν να εμφανιστούν με διαφορά δευτερολέπτων με σχεδόν ίδια διατύπωση. Η φράση πρόσβασης προστατεύει ένα αρχείο στον δίσκο σας· ο κωδικός αποδεικνύει έναν λογαριασμό σε έναν διακομιστή. Η σύγχυσή τους στέλνει ανθρώπους σε επαναφορές κωδικού που δεν μπορούν να βοηθήσουν.

Διαβάστε την προτροπή πριν επαναφέρετε οτιδήποτε. Η επαναφορά κωδικού λογαριασμού δεν κάνει τίποτα για μια ξεχασμένη φράση κλειδιού, ένα πιστοποιητικό που ανακλήθηκε ή ένα που έληξε, και η επαναφορά του κωδικού όταν η αστοχία είναι επαλήθευση πιστοποιητικού μετατρέπει μια διόρθωση δύο λεπτών σε υπόθεση υποστήριξης. Αν το παράπονο αναφέρει ημερομηνίες ισχύος, ελέγξτε πρώτα το ρολόι της συσκευής και μετά το δικό του παράθυρο του πιστοποιητικού που αναφέρεται.

Όταν το πιστοποιητικό έχει πραγματικά λήξει, η αντικατάσταση πρέπει να έρθει από όποιον το εξέδωσε. Ένα κλειδί που ανήκει σε κάποιον άλλο δεν είναι δρόμος ανανέωσης, ούτε ο δανεισμός ενός προφίλ που δουλεύει από έναν συνάδελφο.

Τι αποδεικνύει μια καθαρή χειραψία και τι όχι

Το να φτάσετε σε ολοκληρωμένη χειραψία TLS σημαίνει ότι η διαμορφωμένη σχέση ταυτότητας κράτησε: το πιστοποιητικό του διακομιστή αλυσοδέντηκε στην CA σας και το δικό σας πιστοποιητικό έγινε δεκτό. Δεν λέει τίποτα για την πολιτική καταγραφής του διαχειριστή, ούτε αν οι εφαρμογές σας θα δουλέψουν όταν σηκωθεί η σήραγγα.

Οι διαδρομές και το DNS είναι μεταγενέστερα στάδια της σύνδεσης, οπότε ένας μη προσβάσιμος κεντρικός υπολογιστής intranet μετά από επιτυχή σύνδεση είναι πρόβλημα συνδεσιμότητας και όχι πιστοποιητικού. Δουλέψτε αυτό το επίπεδο αντί να αλλάζετε διαπιστευτήρια, και κρατήστε την προέλευση του προφίλ, το ιδιωτικό του υλικό και τους ελέγχους ταυτότητάς του μαζί όταν το δίνετε σε κάποιον.