OpenVPN-profiilis on kolm sertifikaadiplokki: milline on salajane?

Avad .ovpn-faili, et üht rida muuta, ja leiad kolm base64 plokki, mis kõik näevad välja nagu volitused. Ühte on turvaline avaldada, teine on sama tundlik kui parool, ja kolmas on avalik võti, mis ei tähenda midagi, kui miski muu ei ole selle paarilisega allkirjastatud. Inimesed kleepivad kogu faili tugiteemasse, sest plokid näivad vahetatavad, ja nii satub kliendivõti avalikku arhiivi. See, milline plokk mida teeb, selgitab suurema osa nende profiilide ümber olevast segadusest ja ütleb ka, millised tõrked on sinu parandada.

Üks fail, kolm plokki, erinevad tööd

Tüüpiline profiil põimib ca-ploki, cert-ploki ja key-ploki BEGIN- ja END-markerite vahele või osutab samadele kolmele eraldi failidena. Mõned profiilid lisavad neljanda ploki tls-auth või tls-crypt võtme jaoks, mis on ühine saladus, mitte sertifikaat. Klient loeb iga plokki vastavalt direktiivile, mis selle nimetab, seega on sildid tähtsamad kui nende ilmumise järjekord.

Käsitle kokkupandud profiili tundlikuna, kuni oled tegelikult sisse vaadanud. Avalik sertifikaat ja privaatvõti võivad samas failis paikneda vaid mõne rea kaugusel ning päist sisaldav ekraanipilt võib sisaldada mõlemat. Nähtava base64 käsitsi kinni katmine on samuti ebausaldusväärne, sest osaline plokk lekitab ikka sertifikaadi metaandmeid, mis nimetavad sinu juurutust. Kolme direktiivi kopeerimine ilma nende väärtusteta on tavaliselt piisav, et esitada kasulik küsimus.

Plokkide ümber olevad direktiivid otsustavad, kuidas neid kasutatakse. Muuda ca ja klient usaldab teist asutust; muuda cert ilma keyd muutmata ja käepigistus ebaõnnestub mittevastavusega, millel pole usaldusega mingit seost.

CA-plokk on avalik, CA-võti mitte kunagi

Sertifitseerimisasutus allkirjastab sertifikaate, mis seovad avaliku võtme identiteediga, ja tema enda sertifikaat on ankur, mille järgi klient otsustab, kas ahel on usaldusväärne. See sertifikaat on disaini järgi avalik: selle saatmine iga profiili sees on tavaline ja just seetõttu saab iseallkirjastatud juurutus töötada ilma kommertsasutuseta.

See, mis ei tohi kunagi kliendiprofiilis ilmuda, on asutuse privaatne allkirjastamisvõti. Klient ei vaja seda millegi valideerimiseks ja selle olemasolu tähendab, et igaüks, kellel profiil on, võib kogu juurutuse jaoks uusi identiteete luua.

Asutuse usaldamine on ka kitsam, kui see kõlab. Klient, kes aktsepteerib iga CA allkirjastatud sertifikaati, aktsepteerib endiselt sama CA juures teise teenuse jaoks välja antud sertifikaati. Valikud, mis kinnistavad oodatava serveri rolli või nime, sulgevad selle lõhe, ja TLS-i valikute viide loetleb kontrollidirektiivid, mis seda teevad.

Serveri- ja kliendisertifikaat osutavad vastassuundades

Serveri sertifikaat on see, mida klient uurib, et kinnitada õigesse lõpp-punkti jõudmist. Sinu kliendisertifikaat töötab vastupidi: server kasutab seda, et otsustada, et see seade või kasutaja on üks, mille ta on registreerinud. Sama vorming, vastupidine usaldussuund.

Aadress ei ole identiteet. Õigesse IP-sse jõudmine ei tõesta midagi selle kohta, kes vastas, seepärast kuulub hostinime või sertifikaadi nime kontroll endiselt profiili. Ka kontoparool ei asenda vaikselt nõutud kliendisertifikaati, sest mõlemat kontrollitakse erinevas etapis ja juurutus võib nõuda mõlemat.

Kliendi privaatvõti on osa, mis peab jääma privaatseks. Kui see võis paljastuda, ei muuda faili kustutamine sinu sülearvutist serveris midagi, mis jätkab vastava sertifikaadi aktsepteerimist, kuni operaator selle tühistab. Operaatorilt selle identiteedi asendamise või tühistamise palumine on ainus parandus, mis sinuga kaasa tuleb.

Kaks viipa, mis näevad identsed välja ja ei ole seda

Krüpteeritud kujul hoitud võti küsib paroolifraasi, enne kui klient saab seda kasutada. VPN-teenus võib eraldi küsida kontoparooli ja kaks viipa võivad ilmuda sekundite vahega peaaegu sama sõnastusega. Paroolifraas kaitseb faili sinu kettal; parool tõestab kontot serverile. Nende segamine saadab inimesed parooli lähtestamistele, mis ei saa kuidagi aidata.

Loe viipa enne, kui midagi lähtestad. Kontoparooli lähtestamine ei tee midagi unustatud võtmefraasi, tühistatud või aegunud sertifikaadi jaoks, ja parooli lähtestamine siis, kui tõrge on sertifikaadi valideerimine, muudab kaheminutilise paranduse tugijuhtumiks. Kui kaebus mainib kehtivuskuupäevi, kontrolli kõigepealt seadme kella ja seejärel nimetatud sertifikaadi enda akent.

Kui sertifikaat on tõesti aegunud, peab asendus tulema sellelt, kes selle välja andis. Kellegi teise võti ei ole uuendamise tee ja kolleegilt töötava profiili laenamine samuti mitte.

Mida puhas käepigistus tõestab ja mida mitte

Lõpetatud TLS-i käepigistuseni jõudmine tähendab, et seadistatud identiteedisuhe pidas: serveri sertifikaat aheldus sinu CA külge ja sinu sertifikaat võeti vastu. See ei ütle midagi operaatori logimispoliitika kohta ega selle kohta, kas sinu rakendused töötavad, kui tunnel on püsti.

Marsruudid ja DNS on ühenduse hilisemad etapid, seega kättesaamatu intraneti host pärast edukat sisselogimist on ühenduvuse, mitte sertifikaadi probleem. Tööta selle kihi kallal selle asemel, et volitusi vahetada, ja hoia profiili päritolu, selle privaatne materjal ja identiteedikontrollid koos, kui annad selle kellelegi.