OpenVPN profil batek hiru ziurtagiri-bloke ditu: zein da sekretua?

Lerro bat aldatzeko .ovpn fitxategi bat irekitzen duzu eta kredentzialak diruditen hiru base64 bloke aurkitzen dituzu. Bat argitaratzeko segurua da, beste bat pasahitza bezain sentikorra da, eta bestea gako publiko bat da, ezerk ez du ezer esan nahi bere bikotearekin sinatu ez bada. Jendeak fitxategi osoa laguntza-hari batean itsasten du blokeak trukagarriak diruditelako, eta horrela amaitzen du bezero-gako batek artxibo publiko batean. Bloke bakoitzak zer egiten duen bereizteak profil hauen inguruko nahasmenaren zatirik handiena azaltzen du, eta zein hutsegite zuzen behar dituzun ere esaten dizu.

Fitxategi bat, hiru bloke, lan ezberdinak

Profil tipiko batek ca bloke bat, cert bloke bat eta key bloke bat txertatzen ditu BEGIN eta END markatzaileen artean, edo hiru horiei fitxategi bereizi gisa erreferentzia egiten die. Zenbait profilek laugarren bloke bat gehitzen dute tls-auth edo tls-crypt gako baterako, hau da, sekretu partekatu bat eta ez ziurtagiri bat. Bezeroak bloke bakoitza izendatzen duen direktibaren arabera irakurtzen du, beraz etiketek gehiago axola dute agertzen diren ordenak baino.

Trata ezazu muntatutako profila sentikorra bezala benetan barruratu arte. Ziurtagiri publiko bat eta gako pribatu bat lerro gutxira egon daitezke fitxategi berean, eta goiburua barne hartzen duen pantaila-argazki batek biak har ditzake. Ikusgai dagoen base64a eskuz estaltzea ere ez da fidagarria, bloke partzial batek zure hedapena izendatzen duten ziurtagiriaren metadatuak filtratzen baititu. Hiru direktibak beren balio gabe kopiatzea nahikoa izan ohi da galdera erabilgarria egiteko.

Blokeen inguruko direktibek erabakitzen dute nola erabiltzen diren. Aldatu ca eta bezeroak beste autoritate bat fidatzen du; aldatu cert key aldatu gabe eta esku-ukaldiak huts egiten du konfiantzarekin zerikusirik ez duen desadostasun batekin.

CA blokea publikoa da, CA gakoa inoiz ez

Ziurtagiri-autoritate batek gako publiko bat identitate batekin lotzen duten ziurtagiriak sinatzen ditu, eta bere ziurtagiria da bezeroak kate bat fidagarria den erabakitzeko erabiltzen duen aingura. Ziurtagiri hori diseinuz publikoa da: profil bakoitzaren barruan bidaltzea normala da, eta horregatik funtziona dezake auto-sinatutako hedapen batek autoritate komertzialik gabe.

Bezero-profil batean inoiz agertu behar ez dena autoritatearen sinadura-gako pribatua da. Bezeroak ez du ezer baliozkotzeko behar, eta haren presentziak esan nahi du profila duen edonork identitate berriak sor ditzakeela hedapen osoarentzat.

Autoritate bat fidatzea dirudien baino estuagoa da. CAk sinatutako edozein ziurtagiri onartzen duen bezeroak oraindik onartuko du CA berean beste zerbitzu baterako jaulkitako ziurtagiri bat. Espero den zerbitzari-rola edo izena finkatzen duten aukerek hutsune hori ixten dute, eta TLS aukeren erreferentzia hori egiten duten egiaztapen-direktibak zerrendatzen ditu.

Zerbitzariaren eta bezeroaren ziurtagiriak kontrako norabideetan doaz

Zerbitzariaren ziurtagiria da bezeroak aztertzen duena helmuga zuzena lortu duela baieztatzeko. Zure bezero-ziurtagiria beste bidean doa: zerbitzariak erabiltzen du gailu edo erabiltzaile hau berak inskribatutako bat dela erabakitzeko. Formatu bera, konfiantza-norabide kontrajarria.

Helbide bat ez da identitatea. IP zuzena lortzeak ez du ezer frogatzen nor erantzun zuenari buruz, horregatik ostalari-izenaren edo ziurtagiri-izenaren egiaztapena profilean dago oraindik. Kontu-pasahitzak ere ez du isilpean ordezkatzen beharrezko bezero-ziurtagiri bat, biak etapa ezberdinetan egiaztatzen baitira eta hedapen batek biak eska ditzakeelako.

Bezeroaren gako pribatua pribatu behar duen zatia da. Agertu izana posible bada, zure eramangarritik fitxategia ezabatzeak ez du ezer aldatzen zerbitzarian, dagokion ziurtagiria onartzen jarraituko baitu operadoreak baliogabetu arte. Operadoreari identitate hori ordezkatzeko edo baliogabetzeko eskatzea da zurekin bidaiatzen duen konponbide bakarra.

Berberak diruditen bi eskaera eta ez dira

Forma enkriptatuan gordetako gako batek pasahitz-esaldi bat eskatzen du bezeroak erabili ahal izan baino lehen. VPN zerbitzuak kontu-pasahitza bereiz eska dezake, eta bi eskaerek segundu gutxiko aldearekin ager daitezke ia hitz berberekin. Pasahitz-esaldiak zure diskoan dagoen fitxategi bat babesten du; pasahitzak kontu bat frogatzen dio zerbitzariari. Biak nahasteak ezin duten lagundu pasahitz berrezarpenetara bidaltzen du jendea.

Irakurri eskaera ezer berrezarri aurretik. Kontu-pasahitzaren berrezarpenak ez du ezer egiten ahaztutako gako-esaldi baterako, baliogabetutako edo iraungitako ziurtagiri baterako, eta pasahitza berrezartzeak hutsa ziurtagiriaren baliozkotzea denean bi minutureko konponketa laguntza-kasu bihurtzen du. Kexak baliozkotasun-datak aipatzen baditu, egiaztatu lehenik gailuaren erlojua eta gero aipatutako ziurtagiriaren leihoa.

Ziurtagiria benetan iraungi denean, ordezkapenak hura jaulki zuenarengandik etorri behar du. Norbait besteri dagokion gakoa ez da berritze-bide bat, eta lankide bati funtzionatzen duen profil bat malgutzea ere ez.

Zer frogatzen duen esku-ukaldi garbi batek eta zer ez

Osatutako TLS esku-ukaldi batera iristeak esan nahi du konfiguratutako identitate-harremana mantendu zela: zerbitzariaren ziurtagiria zure CArekin kateatu zen eta zure ziurtagiria onartu zen. Ez du ezer esaten operadorearen erregistro-politikari buruz, ez eta tunela altxatuta egonda zure aplikazioek funtzionatuko duten ere.

Ibilbideak eta DNS konexioaren geroagoko etapak dira, beraz, saio-hasiera ondu ondoren iristezina den intranet ostalari bat konektibitate-arazoa da, ez ziurtagiri-arazoa. Landu geruza hori kredentzialak trukatu ordez, eta edozeini ematen diozunean eduki elkarrekin profilaren jatorria, haren material pribatua eta haren identitate-egiaztapenak.