Autosinatua edo CA publikoa VPN baterako: zer aldatzen den benetan

VPN konfigurazio baten ziurtagiri orrira iristen zara, doako autosinatutako aukera bat ikusten duzu ordainpeko CA publiko baten ondoan, eta galderak segurtasun erabaki bat ematen du. Egia esan, publikoaren erabakia da. Bi aukerek primitiba berberekin zifratzen dute tunela, eta biak baliogabe bihurtzen dira gako pribatua ihes eginez gero. Hauek bereizten dituena da nork egiten duen zerbitzariaren identitateari buruzko baieztapena eta nork duen baieztapen hori egiaztatzeko aukera.

Ziurtagiri batek nahasten diren bi lan egiten ditu

Ziurtagiri batek gako publiko bat izen bati lotzen dio, eta gakoak egiten du zifratze eta sinatze lana. Ziurtagiriko sinadura aparteko adierazpena da: agintari batek egiaztatu du izena gakoaren jabe honena dela. Autosinatutako ziurtagiri batek bere buruari buruz egiten du adierazpen hori, eta hori ez da inolako hirugarrenen baieztapena.

Webgune publikoek hirugarrenen bertsioa behar dute, bisitariek aurreko harremanik gabe iristen baitira eta nabigatzailearen konfiantza biltegiaren mende baitaude. VPN bezeroa ez da ezezaguna. CA ziurtagiria ematen diozu, edo zerbitzariaren ziurtagiria finkatzen duzu instalatzen duen profilean, beraz egiaztapena zuk aukeratutako agintariaren aurka egiten da zehazki. Ez da CA komertzialik behar egiaztapen horrek zerbait esan dezan.

Lortutako saioaren indarra gakoaren tamainatik eta zifratze multzotik dator, ez sinatzailetik. Horregatik autosinatutako ziurtagiria "gutxiago zifratua" deitzea sinpleki okerra da; gutxiago bermaturik dago, eta hori beste ezaugarri bat da.

Non irabazten duen CA publiko batek bere kuota

Kasurik argiena administrazio orria da. Lankideek, kontratatuek edo prestaturiko profilik ez duen edonork VPN zerbitzariaren web interfazea nabigatzailearen abisurik gabe ireki behar badute, konfiantza publikoko ziurtagiri batek marruskadura hori kentzen du. Nabigatzaileak dagoeneko sinatzailean konfiatzen du, beraz ez dago ezer inportatu beharrik eta ezer azaldu beharrik.

Erosotasun horrek kostuak ditu, erosi aurretik aipatzea merezi dutenak. Berritzea automatizatu behar da, bestela gunea egutegi baten arabera hausten da, ziurtagiri publikoek ostalari izena agerian uzten dute ziurtagirien gardentasun erregistroetan, eta emate tasa mugak gogorregi berriro saiatzen den script bat zigortzen dute. Horietako bat ere ez da CA publikoa saihesteko arrazoia, baina CA pribatu batek beste leku batera eramaten duen eragiketa lana da.

Ziurtagiri publiko batek egiten ez duena zure erabiltzaileak autentifikatzea da. Bezeroaren identitatea aparteko erabakia da, bezero ziurtagiriekin, pasahitzekin edo bigarren faktore batekin hartua, eta zerbitzaria sinatzen duen CAk ez du ezer esaten nor sar daitekeen hari buruz.

Non kokatzen da CA pribatu bat VPN batean

Bezero ezagunak dituen VPN pribatu baterako, zeure CA exekutatzea da ohiko aukera. CA behin sortzen duzu, zerbitzariaren ziurtagiria bezeroek erabiliko duten izenarekin sinatzen duzu, eta CA ziurtagiria profil bakoitzaren barruan banatzen duzu. Orduan bezero bakoitzak zerbitzaria zure agintariaren aurka egiaztatzen du, eta kanpoko inork ez du ostalari izena ezagutzen.

Kostuak errealak dira baina mugatuak. Nabigatzaileek abisua emango dute norbaitek administrazio orria zuzenean irekitzean, nabigatzaileak ez baitu zure CAz fidatzeko arrazoirik. Profilen banaketa sartze prozesuaren parte bihurtzen da, eta CA biratzeak bezero bakoitza ukitzea esan nahi du. Prezio onargarriak dira hamar edo berrogeita hamar erabiltzaile ezagun dituen zerbitzu baterako, eta mingarriak milaka dituen amaiera puntu publiko baterako.

Baldintza batek egiten du baliozko antolaketa osoa: egiaztapena gertatu behar da. Ziurtagiri erroreak alde batera uzteko konfiguratutako bezeroak edozein ziurtagiri aurkezten duen edozein zerbitzari onartzen du, beraz identitate bermea desagertzen da zifratzea geratzen den bitartean. Ezarpen hori da "autosinatua ez da segurua" istorio gehienetako benetako ahulezia.

CAren gako pribatuak erabakitzen du geroago zer egin dezakezun

Ezustekoa hilabete batzuk geroago etorri ohi da, gailu bat gehitu nahi duzunean. Bezero ziurtagiri bat emateko CAren gako pribatua behar da, eta baliogabetze zerrenda sortzeko ere bai. Ziurtagiri eta gako fitxategiak dituen baina CA gakorik ez duen zerbitzari bat heredatu baduzu, ezin duzu ezer berririk sinatu. Zure aukerak PKI berreraikitzea eta bezero bakoitzari CA ziurtagiri berri bat ematea dira, edo pasahitz autentifikaziora aldatzea, eta hori beste segurtasun eredu bat da eta ez du galdutakoa berreskuratzen.

Bi tranpa txikiago bizi dira eremu berean. easy-rsa scriptek suposatzen dute haiek dituen direktorioan zaudela, beraz falta den fitxategi baten erroreak normalean kokapen okerra esan nahi du, ez instalazio hondatua. Eta ziurtagirietan soilik oinarritutako diseinua guztiz zilegia da: bezero ziurtagiriak eskatu ditzakezu aldez aurretik partekatutako gakorik gabe, bezero bakoitzak bat badu eta zerbitzariak katea egiaztatzen badu.

Eman ziurtagiri bat gailu bakoitzeko, talde osoarentzat partekatutako bezero ziurtagiri bat eman beharrean. Orduan galdutako eramangarri batek baliogabetze bakar bat kostatzen dizu, guztientzako berriro ematea beharrean.

Egiaztatu zer heredatu duzun

Edozein aldaketa planifikatu aurretik, irakurri jadanik daukazun ziurtagiria:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Emisorea subjektuaren berdina bada, ziurtagiria autosinatua da, eta hori diseinu aukera bat da, ez akatsa. Datak esaten dizute noiz bihurtzen den berritzea norbaiten arazo, eta bidaltzeko asmoa duzun CAren aurkako egiaztapen arrakastatsuak katea funtzionatzen duela baieztatzen du bezero bakar batek probatu aurretik.

Ondoren aukeratu publikoaren eta banaketaren arabera: CA publikoa nabigatzaile ezezagunek administrazio orrian konfiantza behar dutenean, CA pribatua bezero bakoitzak zuk kontrolatzen duzun profil bat jasotzen duenean. Bi erantzunetako bat ere ez da bestea baino gehiago zifratua.