Autofirmatutako bezero-ziurtagiria? VPN zerbitzariak ez du onartzen oraindik

Operadoreak helbide bat eta erabiltzaile-izena bidaltzen ditu, eta bezeroak CA fitxategia, ziurtagiria eta gakoa eskatzen ditu. Hirurak tokian bertan sortzea hurrengo pausoa dela dirudi. Zure makinak bakarrik sinesten duen ziurtagiria sortzen da. Zerbitzariaren konfiantza kontrolatzen ez duzun CA batean ainguratuta dago, beraz, esku-ematea hasi aurretik amaitzen da.

Konfiantza zerbitzarian bizi da, ez zure profilean

Ziurtagirien autentifikazioa konparazioa da. Bezeroak ziurtagiria aurkezten du; atebideak egiaztatzen du bere konfigurazioko CA batek sinatu duen.

Zure profilean zerbitzaria egiaztatzeko bezeroak erabili behar duen CA fitxategia izendatzen da. Ezin du zerbitzariak zu egiaztatzeko erabili behar duen CA bat izendatu. Konfigurazioaren erdi hori ez da zurea.

Zuk egindako ziurtagiriak konparazio honetan huts egiten du, teknikoki perfektua denean ere. Sinadura balioduna, subjektua eta datak ditu, baina jaulkitzailea atebideak inoiz entzun ez duen CA bat da. Errorea esku-ematean agertzen da, zerbitzariak ziurtagiria eskatu ondoren. Bezeroaren profilean ezerk ezin du erantzuna aldatu.

Zergatik ezin duen autofirmatutako ziurtagiri batek ordezkatu

Autofirmatutako ziurtagiria bere gako propioarekin sinatzen da. Sinadura fitxategi beraren aurka egiaztatzen da, eta horrek autokontsistentea eta beste baten atebiderako kredentzial gisa alferrikakoa bihurtzen du.

Atebideak ez du galdetzen ziurtagiria barruan koherentea den. Galdetzen du jaulkitzaile fidagarri batek sinatu duen.

Horregatik dira nahasgarriak errore-mezuak. Bezeroak zerbitzariaren arazoa dirudien egiaztatze-hutsegitea salatu dezake, zerbitzariak jaulkitzaile ezezaguna erregistratzen duen bitartean. Biek desadostasun bera deskribatzen dute mutur kontrajarrietatik.

CSR bideak zure gako pribatua gordetzen du

Oraindik lanaren zatirik handiena tokian bertan egin dezakezu. Sortu gako-pare bat, eraiki ziurtagiri-sinatzeko eskaera erdi publikoaren inguruan eta bidali eskaera hori operadoreari. Eskaera soilik irteten da zure makinatik. Erdi pribatua sortu zenuen tokian geratzen da.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Operadoreak eskaera bere CArekin sinatzen du eta ziurtagiri bat itzultzen du. Zure gako pribatua ez zen inoiz bidaiatu, eta emaitza atebideak fidatzen duen aingurara kateatzen da.

Kudeatutako zerbitzuek CSR-a saltatzen dute sarritan eta pakete osoa ematen dute. Truke arrazoizkoa da hornitzaile berak tunela amaitzen duenean eta CA duenean. Gakoaren zaintza ez da hobea gordetzeagatik, hornitzaileak une oro berri bat egin lezakeelako.

Paketeak inportatu egiten dira, ez instalatu

Segurtasun-itxurako izenak dituzten hornitzaile-paketeak OpenVPN profilak izan ohi dira. Konfigurazioa eta batzuetan ziurtagiriak dituzte, eta ez dute ezer instalatzen. Inportatu fitxategia protokoloa hitz egiten duen bezero batean, eta konexioa konfiguratuta geratzen da.

Manipulazio-araua edukitik dator. Profilak gako pribatu bat barne hartzen badu, kredentziala da eta pasahitzaren zaintza bera merezi du: ez posta elektronikorik, ez biltegirik, ez deskarga-karpeta partekaturik. Operadoreak ca.crt, client.crt eta client.key bereiz bidaltzen dituenean, gorde itzazu elkarrekin baimen murriztaileekin eta seinalatu profila haietara.

Gehitu operadoreak agian saltatu dituen egiaztapenak

Routerrak sortutako profilean batzuetan ez dago parekoaren egiaztapenik. remote-cert-tls server(e)k parekoaren ziurtagiriak zerbitzari-autentifikazioaren helburua eramatea eskatzen du, bezero-ziurtagiri bat ezin dadin zerbitzari gisa berriz erreproduzitu. Lerro hori aldaketa txiki bat da, justifikazio argia duena.

verify-x509-name urrunago doa operadoreak esperotako subjektua edo SANa izenda dezakeenean. Biak profilean gehitze txikiak dira, eta biak defendagarriak. Aztertu jaso duzuna inportatu aurretik.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Egiaztapen-ezarpenak ez dira kate hautsien konponketa. Jaulkitzailea okerra bada, erantzuna CA egokiaren ziurtagiria da, ez egiaztapena itzaltzen duen bandera bat. Egiaztapena itzaltzeak autentifikazio-hutsegitea hauteman gabeko hutsegite bihurtzen du.

Eskatu pakete bakarra: autoritatearen ziurtagiria PEM gisa, autoritate horrek sinatutako bezero-ziurtagiria, zuk sortutako gakoa edo fidatzen duzun kanal batetik iritsitakoa, eta ziurtagiriak aurkeztu behar duen zerbitzari-izen zehatza. Idatzi iraungitze-data mezu berean, iraungitako ziurtagiria hilabete batzuk geroago sareko matxura bat dirudielako.