Zergatik hausten duen CA ca.key VPN bezero bakoitzera kopiatzeak
Bezeroak CAren ziurtagiri publikoa egiaztatzen du; ez du inoiz sinatzen duen gakoa behar. ca.key gailu guztietara kopiatzeak kopia bat hartzen duen edonori ematen dio igortzeko ahalmena.
Konfigurazio jarraibideen nonbait, direktorio bat osorik kopiatzen da ordenagailu eramangarri bakoitzera, han zein fitxategi dagokion erabakitzea baino errazagoa zelako. Direktorio horrek ca.key dauka, eta bigarren gailu batera iristen den unean ziurtagiri-agintaritzak agintari izateari uzten dio. Orain edozein edukitzailek sarearen gainerakoak fidatuko lituzkeen identitateak igor ditzake.
Nahaste hau behin argitzea merezi du, bi fitxategiak antzekoak baitira eta aurkako gauzak egiten baitituzte.
Egiaztatze-materiala eta sinatze-materiala
Bezeroak CAren ziurtagiri publikoa behar du beste alderdiak aurkeztutako ziurtagiria agintaritza horrek sinatu duela egiaztatzeko. Egiaztatze-lana da eta ez du inolako sekreturik behar. Beste alderdi baten ziurtagiria sinatzea beste lan bat da, CA kudeatzen duenak behin egiten duena, bere biltegi babestua inoiz uzten ez duen gako pribatuarekin. Bi lanok bereizita edukitzea da bi fitxategi bidaltzearen zentzu osoa.
Beraz, ca.crt profilean dagokio eta ca.key ez dagokio haren inguruan inon. Fitxategi-izenak hitzarmena dira, ez bermea, horregatik mota aztertu behar da, izenetik ondorioztatu beharrean.
Bitarteko CA edo lineako igortze-zerbitzua duen arkitektura ez da horren salbuespena. Gailu-ziurtagiriak eskala handian igorriz sinatze-gaitasuna muturretatik urrun edukitzeko ohiko modua da.
Zer frogatu behar duen bezeroak bere gako propioarekin
Gailu bakoitzak bere gako-parea eta bere ziurtagiria jasotzen ditu, CAk behin sinatuta. Bezeroak ziurtagiri hori aurkezten du eta dagokion gako pribatuaren jabetza frogatzen du, eta zerbitzariak onartu edo ez erabakitzen du. Hau da ordenagailu eramangarri bat galtzean baliogabetzen den identitatea.
Kontrasteak lapurreta baten ondoren du garrantzirik handiena. Gailu bakoitzeko identitateekin, agerian geratu den bezero bat baliogabetze bidez edo beste alderdia kenduz desagerrarazten da, eta gainerako flotak lanean jarraitzen du.
Agintaritzaren gako filtratu bat ezin da horrela kudeatu. Inoiz sinatu duen edo sina zezakeen ziurtagiri bakoitza susmagarri bihurtzen da, beraz erantzuna konfiantza ordeztea da, baliogabetze bakar bat ez. Proiektu bat da, ez txartel bat.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Irakurri fitxategi bat edonon kopiatu aurretik
Bi komandok esaten dizute zein objektu-mota duzun eskuan, sekreturik inprimatu gabe. Lehenak ziurtagiri baten subjektua eta CA bandera aipatzen ditu; bigarrenak gako bat baliozkotzen du eta bere mota jakinarazten du. Exekutatu biak banatzeko duzun sortako fitxategietan. Gako pribatu gisa baliozkotzen den edozer ez dagokio bezero-direktorio bati.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Bigarren komandok bezero-sorta batean dagoen fitxategi batean arrakasta badu, gelditu eta trata ezazu sorta konprometitutzat. Gakoa baliozkoa dela dioen irteerak hura badagoela ere esaten du, eta presentzia da arazo osoa.
Kontuan hartu beste norabidea ere: bezero-profil batek behar bezala dauka bezero horren gako pribatua. Aurkitzen duzun gako guztiak ezabatzeak konexioa hausten du ezer hobetu gabe, beraz objektua identifikatu behar da kendu aurretik.
Dagoeneko banatu duzun gako bat edukitzea
Ez pentsa tokiko kopia ezabatzeak esposizioa atzera bueltatzen duenik. Fitxategia eduki duen edonork kopia zezakeen, eta suposizio segurua da egin zuela. Jarraitu operadorearen gertakari-prozesua eta ordeztu konfiantza-ankla, gailu-ziurtagiriak CA berri baten pean berrigorriz.
Gero aldatu arazoa sortu zuen ontziratzea. Bidali direktorio-zerrenda fitxategien baimen-zerrenda esplizituarekin, eduki CAren gakoa bezero-flotara inoiz batzen ez den makinan, eta erregistratu zein sistemak daukan.
Agintaritzak sarri igorri behar badu, eraman sinatzea zerbitzu edo bitarteko baten atzera, esparru estua eta baliogarritasun laburra dituena. Horrela etorkizuneko huts batek igorpenaren zati bat agerian uzten du, hedapen osoaren konfiantza-erroa beharrean.