Miks ca.key kopeerimine igasse VPN-kliendisse CA hävitab
Klient kontrollib CA avalikku sertifikaati; talle pole kunagi vaja allkirjastavat võtit. ca.key kopeerimine igasse seadmesse annab väljastusõiguse igaühele, kes ühe koopia võtab.
Kuskil paigaldusjuhistes kopeeritakse terve kataloog igasse sülearvutisse, sest see oli lihtsam kui otsustada, millised failid sinna kuuluvad. See kataloog sisaldab ca.key ja hetkel, mil see jõuab teise seadmesse, lakkab sertifitseerimisasutus olemast asutus. Iga valdaja saab nüüd väljastada identiteete, mida ülejäänud võrk usaldab.
See segadus tasub üks kord lahti harutada, sest kaks faili näevad sarnased välja ja teevad vastupidist.
Kontrollmaterjal ja allkirjastamismaterjal
Kliendil on vaja CA avalikku sertifikaati, et kontrollida, et vastaspoole esitatud sertifikaat on selle asutuse poolt allkirjastatud. See on kontrolliülesanne ja ei nõua üldse mingit saladust. Vastaspoole sertifikaadi allkirjastamine on teine ülesanne, mida teeb üks kord see, kes CA-d haldab, privaatvõtmega, mis ei lahku kunagi oma kaitstud hoidlast. Nende kahe ülesande lahus hoidmine ongi kahe faili saatmise mõte.
Seega kuulub ca.crt profiili ja ca.key ei kuulu kuhugi selle lähedale. Failinimed on kokkulepe, mitte garantii, seepärast tuleb tüüpi uurida, mitte nimest järeldada.
Vahe-CA või võrgupõhise väljastusteenusega arhitektuur ei ole erand. See on tavaline viis hoida allkirjastamisvõime lõpp-punktidest eemal, väljastades samal ajal seadmesertifikaate suures mahus.
Mida peab klient oma võtmega tõestama
Iga seade saab oma võtmepaari ja oma sertifikaadi, mille CA on üks kord allkirjastanud. Klient esitab selle sertifikaadi ja tõestab vastava privaatvõtme valdamist ning server otsustab, kas selle vastu võtta. See on identiteet, mis tühistatakse, kui sülearvuti kaob.
Vastandus on kõige olulisem pärast vargust. Seadmepõhiste identiteetide puhul eemaldatakse üks paljastatud klient tühistamise või vastaspoole eemaldamisega ning ülejäänud laevastik töötab edasi.
Lekkinud asutuse võtmega ei saa nii toimida. Iga sertifikaat, mille see kunagi allkirjastas või oleks võinud allkirjastada, muutub kahtlaseks, seega on vastuseks usalduse asendamine, mitte üksik tühistamine. See on projekt, mitte pilet.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Lugege faili enne, kui kopeerite selle kuhugi
Kaks käsku ütlevad, millist tüüpi objekti te käes hoiate, ilma ühtegi saladust trükkimata. Esimene nimetab sertifikaadi subjekti ja CA lipu; teine valideerib võtme ja teatab selle tüübi. Käivitage mõlemad paketi failide peal, mida kavatsete levitada. Kõik, mis valideerub privaatvõtmena, ei kuulu kliendi kataloogi.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Kui teine käsk õnnestub failil, mis asub kliendipaketis, peatuge ja käsitlege paketti kompromiteerituna. Väljund, mis ütleb, et võti on kehtiv, ütleb ka, et see on olemas, ja olemasolu ongi kogu probleem.
Pöörake tähelepanu ka vastassuunale: kliendiprofiil sisaldab õiguspäraselt selle kliendi enda privaatvõtit. Kõigi leitud võtmete kustutamine katkestab ühenduse midagi parandamata, seega tuleb objekt enne eemaldamist tuvastada.
Juba levitatud võtme ohjeldamine
Ärge eeldage, et kohaliku koopia kustutamine pöörab kokkupuute tagasi. Igaüks, kellel fail oli, võis selle kopeerida, ja turvaline eeldus on, et ta tegi seda. Järgige operaatori intsidendiprotsessi ja asendage usaldusankur, väljastades seadmesertifikaadid uue CA all uuesti.
Seejärel muutke pakendit, mis probleemi tekitas. Saatke kataloogiloend koos selgesõnalise lubatud failide loendiga, hoidke CA võtit masinas, mis ei liitu kunagi kliendilaevastikuga, ja registreerige, milline süsteem seda hoiab.
Kui asutus peab sageli väljastama, viige allkirjastamine teenuse või kitsa ulatuse ja lühikese kehtivusega vaheasutuse taha. Nii paljastab tulevane viga osa väljastusest, mitte kogu juurutuse usaldusjuurt.