OpenVPN-profilo havas tri atestilajn blokojn: kiu estas sekreta?

Vi malfermas dosieron .ovpn por ŝanĝi unu linion kaj trovas tri blokojn de base64, kiuj ĉiuj aspektas kiel akreditaĵoj. Unu estas sendanĝera publikigi, unu estas tiel sentema kiel pasvorto, kaj unu estas publika ŝlosilo, kiu signifas nenion se io alia ne subskribiĝis per ĝia paro. Homoj algluas la tutan dosieron en subtenan fadenon ĉar la blokoj aspektas interŝanĝeblaj, kaj tiel klienta ŝlosilo finiĝas en publika arkivo. Distingi, kiu bloko faras kion, klarigas la plejparton de la konfuzo pri ĉi tiuj profiloj, kaj ankaŭ diras al vi, kiujn paneojn vi devas mem ripari.

Unu dosiero, tri blokoj, malsamaj taskoj

Tipa profilo enigas blokon ca, blokon cert kaj blokon key inter markiloj BEGIN kaj END, aŭ montras al la samaj tri kiel apartaj dosieroj. Iuj profiloj aldonas kvaran blokon por ŝlosilo tls-auth aŭ tls-crypt, kiu estas komuna sekreto kaj ne atestilo. La kliento legas ĉiun blokon laŭ la direktivo, kiu nomas ĝin, do la etikedoj pli gravas ol la ordo de apero.

Traktu la kunmetitan profilon kiel senteman ĝis vi vere rigardos enen. Publika atestilo kaj privata ŝlosilo povas esti kelkaj linioj dise en la sama dosiero, kaj ekrankopio kun la kaplinio povas enhavi ambaŭ. Mane kaŝi la videblan base64 ankaŭ estas nefidinda, ĉar parta bloko ankoraŭ malkaŝas la atestilajn metadatumojn, kiuj nomas vian deplojon. Kopii la tri direktivojn sen iliaj valoroj kutime sufiĉas por fari utilan demandon.

La direktivoj ĉirkaŭ la blokoj decidas, kiel ili estas uzataj. Ŝanĝu ca kaj la kliento fidas alian aŭtoritaton; ŝanĝu cert sen ŝanĝi key kaj la manpremo paneas pro nekongruo, kiu havas nenion komunan kun fido.

La bloko CA estas publika, la ŝlosilo CA neniam

Atestila aŭtoritato subskribas atestilojn, kiuj ligas publikan ŝlosilon al identeco, kaj ĝia propra atestilo estas la ankro, per kiu kliento decidas, ĉu ĉeno estas fidinda. Tiu atestilo estas publika laŭ la dezajno: sendi ĝin ene de ĉiu profilo estas normale, kaj ĝuste tial memsubskribita deplojo povas funkcii sen komerca aŭtoritato.

Tio, kio neniam devas aperi en klienta profilo, estas la privata subskriba ŝlosilo de la aŭtoritato. La kliento ne bezonas ĝin por validigi ion ajn, kaj ĝia ĉeesto signifas, ke ĉiu, kiu havas la profilon, povas krei novajn identecojn por la tuta deplojo.

Fidi aŭtoritaton ankaŭ estas pli mallarĝa ol ĝi sonas. Kliento, kiu akceptas ajnan atestilon subskribitan de la CA, ankoraŭ akceptos atestilon eldonitan por alia servo en la sama CA. Opcioj, kiuj fiksas la atendatan rolon aŭ nomon de la servilo, fermas tiun breĉon, kaj la Referenco de TLS-opcioj listigas la kontrolajn direktivojn, kiuj faras tion.

Servilaj kaj klientaj atestiloj montras en kontraŭajn direktojn

La atestilo de la servilo estas tio, kion la kliento inspektas por konfirmi, ke ĝi atingis la ĝustan finpunkton. Via klienta atestilo iras la alian vojon: la servilo uzas ĝin por decidi, ke ĉi tiu aparato aŭ uzanto estas unu, kiun ĝi enskribis. Sama formato, kontraŭa direkto de fido.

Adreso ne estas identeco. Atingi la ĝustan IP pruvas nenion pri tio, kiu respondis, tial kontrolo de gastiga nomo aŭ atestila nomo ankoraŭ apartenas al la profilo. Nek konta pasvorto silente anstataŭas postulatan klientan atestilon, ĉar ambaŭ kontroliĝas en malsamaj etapoj kaj deplojo povas postuli ambaŭ.

La privata ŝlosilo de la kliento estas la parto, kiu devas resti privata. Se ĝi eble malkaŝiĝis, forigo de la dosiero de via tekkomputilo ŝanĝas nenion ĉe la servilo, kiu daŭre akceptos la respondan atestilon ĝis la operatoro nuligos ĝin. Peti la operatoron anstataŭigi aŭ nuligi tiun identecon estas la sola riparo, kiu vojaĝas kun vi.

Du promptoj, kiuj aspektas identaj kaj ne estas

Ŝlosilo konservita en ĉifrita formo petas pasfrazon antaŭ ol la kliento povas uzi ĝin. La VPN-servo povas aparte peti kontan pasvorton, kaj la du promptoj povas aperi sekundojn dise kun preskaŭ sama vortigo. La pasfrazo protektas dosieron sur via disko; la pasvorto pruvas konton al servilo. Konfuzi ilin sendas homojn al pasvortaj restarigoj, kiuj neniel povas helpi.

Legi la prompton antaŭ ol restarigi ion ajn. Restarigo de konta pasvorto faras nenion por forgesita ŝlosila pasfrazo, nuligita aŭ eksvalida atestilo, kaj restarigi la pasvorton kiam la paneo estas atestila validigo igas duminutan riparon subtena kazo. Se la plendo mencias validajn datojn, kontrolu unue la horloĝon de la aparato, poste la propran fenestron de la nomita atestilo.

Kiam la atestilo vere eksvalidiĝis, la anstataŭo devas veni de tiu, kiu eldonis ĝin. Ŝlosilo apartenanta al iu alia ne estas renoviga vojo, kaj prunti funkciantan profilon de kolego ankaŭ ne.

Kion pura manpremo pruvas kaj kion ne

Atingi finitan TLS-manpremon signifas, ke la agordita identeca rilato teniĝis: la servila atestilo ĉeniĝis al via CA kaj via atestilo estis akceptita. Ĝi diras nenion pri la registrada politiko de la operatoro, nek pri tio, ĉu viaj aplikaĵoj funkcios post kiam la tunelo estos levita.

Itineroj kaj DNS estas postaj etapoj de la konekto, do neatingebla intraneta gastiganto post sukcesa saluto estas konekta problemo, ne atestila problemo. Laboru tiun tavolon anstataŭ ŝanĝi akreditaĵojn, kaj tenu la originon de la profilo, ĝian privatan materialon kaj ĝiajn identecajn kontrolojn kune kiam vi transdonas ĝin al iu.