Itseallekirjoitettu vai julkinen CA VPN:lle: mikä oikeasti muuttuu

Saavut VPN-asennuksen varmenteet-sivulle, näet ilmaisen itseallekirjoitetun vaihtoehdon maksullisen julkisen CA:n vieressä, ja kysymys kuulostaa turvallisuusvalinnalta. Se on oikeasti yleisövalinta. Molemmat vaihtoehdot salaavat tunnelin samoilla primitiiveillä, ja molemmista tulee arvottomia, jos yksityinen avain vuotaa. Ne erottaa se, kuka esittää väitteen palvelimen identiteetistä ja kuka on asemassa, jossa voi tarkistaa sen väitteen.

Varmenne tekee kaksi työtä, jotka sekoitetaan

Varmenne sitoo julkisen avaimen nimeen, ja avain tekee salaus- ja allekirjoitustyön. Varmenteen allekirjoitus on erillinen lausuma: jokin viranomainen on tarkistanut, että nimi kuuluu tälle avaimen haltijalle. Itseallekirjoitettu varmenne esittää tuon lausuman itsestään, mikä ei ole lainkaan kolmannen osapuolen väite.

Julkiset verkkosivustot tarvitsevat kolmannen osapuolen version, koska vierailijat saapuvat ilman aiempaa suhdetta ja luottavat selaimen luottamusvarastoon. VPN-asiakas ei ole vieras. Annat sille CA-varmenteen tai kiinnität palvelimen varmenteen asennettavaan profiiliin, joten tarkistus tapahtuu täsmälleen valitsemaasi viranomaista vastaan. Minkään kaupallisen CA:n ei tarvitse olla mukana, jotta tuolla tarkistuksella olisi merkitystä.

Tuloksena olevan istunnon vahvuus tulee avaimen koosta ja salausvalikoimasta, ei allekirjoittajasta. Siksi itseallekirjoitetun varmenteen kutsuminen "vähemmän salatuksi" on yksinkertaisesti väärin; se on vähemmän laajalti taattu, mikä on eri ominaisuus.

Missä julkinen CA ansaitsee maksunsa

Selkein tapaus on hallintasivu. Jos kollegoiden, urakoitsijoiden tai kenen tahansa ilman valmista profiilia on avattava VPN-palvelimen verkkokäyttöliittymä ilman selaimen varoitusta, julkisesti luotettu varmenne poistaa tuon kitkan. Selain luottaa jo allekirjoittajaan, joten mitään ei tarvitse tuoda eikä selittää.

Tuolla mukavuudella on kustannukset, jotka kannattaa nimetä ennen ostamista. Uusiminen on automatisoitava tai sivusto hajoaa aikataulun mukaan, julkiset varmenteet paljastavat isäntänimen varmenteiden läpinäkyvyyslokeissa, ja myöntämisen nopeusrajat rankaisevat komentosarjaa, joka yrittää liian innokkaasti uudelleen. Mikään noista ei ole syy välttää julkista CA:ta, mutta se on operatiivista työtä, jonka yksityinen CA siirtää muualle.

Mitä julkinen varmenne ei tee, on käyttäjiesi todentaminen. Asiakkaan identiteetti on erillinen päätös, joka tehdään asiakasvarmenteilla, salasanoilla tai toisella tekijällä, eikä palvelimen allekirjoittava CA sano mitään siitä, kuka saa siihen yhdistää.

Missä yksityinen CA sopii VPN:hen

Yksityiselle VPN:lle, jolla on tunnettu asiakasjoukko, oman CA:n pyörittäminen on tavanomainen valinta. Luot CA:n kerran, allekirjoitat palvelimen varmenteen nimellä, jota asiakkaat käyttävät, ja jaat CA-varmenteen jokaisen profiilin sisään. Sitten jokainen asiakas tarkistaa palvelimen viranomaistasi vastaan, eikä mikään ulkopuolinen taho saa tietää isäntänimeä.

Kustannukset ovat todellisia mutta rajattuja. Selaimet varoittavat, kun joku avaa hallintasivun suoraan, koska selaimella ei ole syytä luottaa teidän CA:hanne. Profiilien jakelusta tulee osa käyttöönottoa, ja CA:n vaihtaminen tarkoittaa jokaisen asiakkaan koskettamista. Ne ovat hyväksyttäviä hintoja palvelulle, jolla on kymmenen tai viisikymmentä tunnettua käyttäjää, ja tuskallisia julkiselle päätepisteelle, jolla on tuhansia.

Yksi ehto tekee koko järjestelystä pätevän: tarkistuksen on tapahduttava. Varmennevirheet sivuuttamaan määritetty asiakas hyväksyy minkä tahansa palvelimen, joka esittää minkä tahansa varmenteen, joten identiteettitakuu katoaa salauksen säilyessä. Tuo asetus on todellinen heikkous useimmissa tarinoissa siitä, että "itseallekirjoitettu on turvaton".

CA:n yksityinen avain päättää, mitä voit tehdä myöhemmin

Yllätys tulee yleensä kuukausia myöhemmin, kun haluat lisätä laitteen. Asiakasvarmenteen myöntäminen vaatii CA:n yksityisen avaimen, samoin kuin peruutusluettelon tuottaminen. Jos olet perinyt palvelimen, jolla on varmenne- ja avaintiedostot mutta ei CA-avainta, et voi allekirjoittaa mitään uutta. Vaihtoehtosi ovat PKI:n uudelleenrakentaminen ja uuden CA-varmenteen antaminen jokaiselle asiakkaalle tai siirtyminen salasanatodennukseen, joka on erilainen turvallisuusmalli eikä palauta menetettyä.

Kaksi pienempää ansaa elää samalla alueella. easy-rsa-komentosarjat olettavat, että seisot hakemistossa, joka sisältää ne, joten puuttuvan tiedoston virhe tarkoittaa yleensä väärää sijaintia eikä vaurioitunutta asennusta. Ja vain varmenteisiin perustuva suunnittelu on täysin laillista: voit vaatia asiakasvarmenteet ilman ennalta jaettua avainta, edellyttäen että jokaisella asiakkaalla on sellainen ja palvelin tarkistaa ketjun.

Myönnä yksi varmenne laitetta kohden sen sijaan, että koko tiimille olisi yksi jaettu asiakasvarmenne. Kadonnut kannettava tietokone maksaa silloin yhden peruutuksen eikä uudelleenmyöntöä kaikille.

Tarkista, mitä olet perinyt

Ennen minkään muutoksen suunnittelua lukekaa varmenne, joka teillä jo on:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Jos myöntäjä on sama kuin kohde, varmenne on itseallekirjoitettu, mikä on suunnitteluvalinta eikä vika. Päivämäärät kertovat, milloin uusimisesta tulee jonkun ongelma, ja onnistunut tarkistus sitä CA:ta vastaan, jonka aiotte toimittaa, vahvistaa, että ketju toimii ennen kuin yksikään asiakas kokeilee sitä.

Valitse sitten yleisön ja jakelun mukaan: julkinen CA, kun tuntemattomien selainten on luotettava hallintasivuun, yksityinen CA, kun jokainen asiakas saa profiilin, jota hallitsette. Kumpikaan vastaus ei ole enemmän salattu kuin toinen.