Bihurtu aurretik: SSH gakoa OpenVPN ziurtagiriaren aurrean

Inportazioak ziurtagiri-errore batekin egiten du huts, beraz begi-bistako urratsa bihurtze bat dela dirudi. Sen horrek jendea bide batera eramaten du, non fitxategiaren luzapena aldatzen den eta bazterketa berdin-berdin jarraitzen duen. authorized_keys-en ssh-ed25519 lerro bat eta OpenVPN bezero-ziurtagiri bat kredentzialen objektu bereiziak dira, igorle desberdinekin, kodetze desberdinekin eta baliogabetze-bide desberdinekin. Egiaztapen hauek ordenan eginez gero, minutu batean jakingo duzu bihurtzeak batere lagun dezakeen.

Zein objektu duzu benetan?

Bost gauza deitzen dizkie jendeak gako, eta horietako bat baino ez da TLS profil batek nahi duena. SSH gako publiko bat testu-lerro bakarra da, mota-aurrizki batekin eta base64 karga batekin. OpenSSH ziurtagiri bat gako hori gehi sinadura, principals eta aukerak da, ssh-keygen-ek bere CA txiki propio gisa jardunez sortua. X.509 ziurtagiri bat erabat bestelako egitura da: subjektu bat, baliozkotasun-leiho bat, luzapenak eta ziurtagiri-agintaritza baten sinadura daramatza. Gako pribatua erdi sekretua da, eta igorritako sorta bat normalean ziurtagiri bat gehi bere katea gehi gako pribatua da fitxategi bakarrean.

Lehen probak komando bat balio du. Seinalatu openssl fitxategira eta eskatu ziurtagiriaren egitura analizatzeko:

openssl x509 -in client.crt -noout -subject -issuer

Hori unable-to-load edo PEM errore batekin huts egiten badu, fitxategia ez da X.509 ziurtagiri bat, eman zenion izena edozein dela ere. Izen-aldaketak ez du barneko ASN.1 berridazten, eta gako publikoaren lerro bat PEM goiburu-testuan biltzeak ere ez du egiten.

Profila ziurtagiri bat eskatzen ari da batere?

Bezero-ziurtagiriak hainbat autentifikazio-metodoetako bat dira, eta funtzionatzen duten TLS profil askok ez dute inoiz bat eskatzen. Zerbitzari batek erabiltzaileak plugin baten, erabiltzaile-izen eta pasahitz baten edo token backend baten bidez autentifika ditzake, aldi berean bezeroari zerbitzariaren identitatea egiaztatzeko eskatzen dion bitartean. Profilak bezero-ziurtagirirako direktibarik ez badu, ez da inoiz ziurtagiririk eskatuko, eta inongo bihurtzek ez du atebidea bat eskatzera behartuko.

Gako estatikoaren konfigurazio zaharragoak hirugarren kasu bat dira. TLS esku-ematearen aurretikoak dira eta aldez aurretik partekatutako sekretu-fitxategi bat espero dute, eta horregatik gako publiko bat eremu horretan itsasteak ere ezin du funtzionatu. Irakurri profilak benetan zer eskatzen duen kredentziala okerra dela erabaki aurretik.

Zer egin dezake berriz kodetzeak eta zer ez

Gako pribatuek badituzte edukiontzi alternatibo legitimoak. RSA edo EC gako bera PEM tradizional gisa, PKCS#8 gisa edo PKCS#12 sorta baten barruan idatz daiteke, eta tresnek gustura bihurtzen dute haien artean. Gako publikoek antzeko istorioa dute: ssh-keygen-ek SSH gako baten RFC 4716 forma igor dezake, eta OpenSSH-k bere ziurtagiri-formatua ere ulertzen du. Hori guztia errepresentazioa da, eta errepresentazioa ez da konfiantza.

Bihurtzeak ezin duena zure gakoa inoiz ikusi ez duen ziurtagiri-agintaritza baten sinadura sortzea da. Ziurtagiri bat igorlearen baieztapena da: gako publiko jakin bat subjektu jakin bati dagokiola helburu jakin baterako. Berriz kodetzeak gakoaren byteak gordetzen ditu eta baieztapena falta uzteko, beraz atebideak ez du ezer bere konfiantza-biltegien aurka baliozkotzeko.

Hau da saiakerarik gehienak isilka huts egiten duten urratsa: fitxategia orain .crt-rekin amaitzen da, bezeroak kexarik gabe irakurtzen du, eta esku-emateak oraindik bertan behera egiten du, zeren parekoak ezin baitu katea eraiki igorle fidagarri bateraino.

Non sartzen den ziurtagiri-agintaritza irudian

Erregistro erreala zuk kontrolatzen duzun gako-pare batekin hasten da eta operadoreak espero duen subjektua daraman ziurtagiri-sinadura eskaerarekin. Operadoreak eskubidea egiaztatzen du, eskaera CA gakoarekin sinatzen du, eta igorritako ziurtagiria itzultzen du bezeroak aurkeztu behar duen tarteko katearekin batera. Ondoren bezeroak sinatu zuen CA ziurtagiria behar du, hori baita berak hitz egiten duen zerbitzaria inplementazio berari dagokiola baieztatzeko aukera ematen diona.

Azken fitxategi hori erraza da ahazten eta ezinezkoa ordezkatzen. CAren sinadura-gakoa bera ez da inoiz bezeroaren konfigurazioan sartzen, eta tokiko bihurtze-kantitateak ez du jasoko behar zenuen katea sortzen.

Zer kostatzen zaizun SSH gakoa berrerabiltzeak

Demagun bihurtze batek onargarria den zerbait sortu zuela. Gako-pare bat SSH sarbiderako eta VPN autentifikaziorako berrerabiltzeak bi segurtasun-erabaki independente elkartzen jarraitzen du. authorized_keys-eko sarrera bat kentzeak SSH saio-hasierak gelditzen ditu, eta ez dio ezer egiten VPN CAk gako publiko bererako dagoeneko igorri duen ziurtagiri bati. VPN aldea bere mekanismo propioaren bidez baliogabetzen da, hau da, ziurtagirien baliogabetze-zerrendaren edo operadorearen erregistroaren bidez.

Beraz kontrol-zerrenda gelditze-baldintza batekin amaitzen da, trikimailu batekin beharrean. openssl fitxategia ziurtagiri gisa analizatzen ez badu, gelditu bihurtzea eta deskribatu zer duzun: SSH gakoa, SSH ziurtagiria, X.509 ziurtagiria, gako pribatua edo sorta. Profilak bezero-ziurtagiririk eskatzen ez badu, gelditu eta galdetu zer autentifikazio-metodo espero duen zerbitzariak. Bi erantzunek X.509ra seinalatzen dutenean soilik bihurtzen da erregistroa hurrengo urrats, eta elkarrizketa hori askoz arinagoa da lehen esaldian izen zuzena badago.