In OpenVPN-profyl hat trije sertifikaatblokken: hokker is geheim?
In profyl befettet in CA-sertifikaat, in kliïntsertifikaat en in priveekaai dy't itselde lykje. Mar ien is geheim, en elk mislearret op in oare manier.
Jo iepenje in .ovpn-bestân om ien rigel te feroarjen en fine trije blokken base64 dy't allegear op oanmeldgegevens lykje. Ien is feilich om te publisearjen, ien is like gefoelich as in wachtwurd, en ien is in iepenbiere kaai dy't neat betsjutten hat as der net eat oars mei syn pear tekene hat. Minsken plakke it hiele bestân yn in stipe-tried omdat de blokken útwikselber lykje, en sa bedarret in kliïntkaai yn in iepenbier argyf. Utmeitsje hokker blok wat docht ferklearret it measte fan de betizing oer dizze profylen, en it fertelt jo ek hokker flaters jo sels ferhelpe moatte.
Ien bestân, trije blokken, ferskillende taken
In typysk profyl befettet in ca-blok, in cert-blok en in key-blok tusken BEGIN- en END-markearrings, of wiist nei deselde trije as aparte bestannen. Guon profylen foegje in fjirde blok ta foar in tls-auth- of tls-crypt-kaai, dat in dield geheim is en gjin sertifikaat. De kliïnt lêst elk blok neffens de rjochtline dy't it neamt, dus de labels binne wichtiger as de folchoarder fan ferskining.
Behannelje it gearstalde profyl as gefoelich oant jo der echt yn sjoen hawwe. In iepenbier sertifikaat en in priveekaai kinne in pear rigels fan elkoar yn itselde bestân stean, en in skermprint mei de kop kin beide befetsje. It sichtbere base64 mei de hân ôfdekke is ek ûnbetrouber, want in partiel blok lekket noch altyd de sertifikaatmetadat dy't jo ynset neame. De trije rjochtlinen sûnder har wearden kopiearje is meastentiids genôch om in nuttige fraach te stellen.
De rjochtlinen om de blokken hinne bepale hoe't se brûkt wurde. Feroarje ca en de kliïnt fertrout in oare autoriteit; feroarje cert sûnder key te feroarjen en de hânskodding mislearret mei in misferhâlding dy't neat mei fertrouwen te krijen hat.
It CA-blok is iepenbier, de CA-kaai nea
In sertifikaatautoriteit tekent sertifikaten dy't in iepenbiere kaai oan in identiteit bine, en har eigen sertifikaat is it anker dat in kliïnt brûkt om te beslissen oft in keatling fertrouber is. Dat sertifikaat is per ûntwerp iepenbier: it yn elk profyl meistjoere is normaal, en dêrom kin in selsûndertekene ynset sûnder kommersjele autoriteit wurkje.
Wat nea yn in kliïntprofyl ferskine mei, is de privee-ûndertekeningkaai fan de autoriteit. De kliïnt hat dy net nedich om eat te falidearjen, en de oanwêzichheid betsjut dat wa't it profyl hat nije identiteiten meitsje kin foar de hiele ynset.
In autoriteit fertrouwe is ek smeller as it klinkt. In kliïnt dy't elk sertifikaat akseptearret dat troch de CA tekene is, sil noch altyd in sertifikaat akseptearje dat foar in oare tsjinst op deselde CA útjûn is. Opsjes dy't de ferwachte rol of namme fan de tsjinner fêstsette, slute dy kleau, en de TLS-opsjereferinsje listet de ferifikaasjerjochtlinen op dy't dat dogge.
Tsjinner- en kliïntsertifikaten wize yn tsjinoerstelde rjochtingen
It sertifikaat fan de tsjinner is wat de kliïnt besjocht om te befêstigjen dat it it juste einpunt berikt hat. Jo kliïntsertifikaat giet de oare kant op: de tsjinner brûkt it om te beslissen dat dit apparaat of dizze brûker ien is dy't hy ynskreaun hat. Itselde formaat, tsjinoerstelde rjochting fan fertrouwen.
In adres is gjin identiteit. It juste IP berikke bewissiget neat oer wa't antwurde, dêrom heart kontrôle fan hostnamme of sertifikaatnamme noch altyd yn it profyl. In akkountwachtwurd ferfangt ek net stil in ferplichte kliïntsertifikaat, want de beide wurde yn ferskillende fazen kontrolearre en in ynset kin beide freegje.
De priveekaai fan de kliïnt is it part dat privee bliuwe moat. As it bleatsteld wêze kinnen hat, feroaret it fuortheljen fan it bestân fan jo laptop neat op de tsjinner, dy't it byhearrende sertifikaat akseptearje bliuwt oant de operator it weromlûkt. De operator freegje dy identiteit te ferfangen of werom te lûken is de ienige oplossing dy't mei jo reizget.
Twa fregen dy't identyk lykje en dat net binne
In kaai dy't yn fersifere foarm bewarre is, freget in wachtfrase foardat de kliïnt it brûke kin. De VPN-tsjinst kin apart in akkountwachtwurd freegje, en de beide fregen kinne sekonden fan elkoar ferskine mei hast deselde bewurding. De wachtfrase beskermet in bestân op jo skiif; it wachtwurd bewissiget in akkount by in tsjinner. Se trochinoar helje stjoert minsken nei wachtwurdwerstellings dy't ûnmooglik helpe kinne.
Lês de fraach foardat jo eat werstelle. In akkountwachtwurdwerstelling docht neat foar in fergetten kaaiwachtfrase, in weromlûkt of in ferfallen sertifikaat, en it wachtwurd werstelle as de flater sertifikaatferifikaasje is, makket fan in oplossing fan twa minuten in stipesaak. As de klacht jildichheidsdatums neamt, kontrolearje dan earst de klok fan it apparaat en dan it eigen finster fan it neamde sertifikaat.
As it sertifikaat echt ferfallen is, moat de ferfanging komme fan wa't it útjûn hat. In kaai dy't fan immen oars is, is gjin fernijingspaad, en in wurkjend profyl fan in kollega liene is dat ek net.
Wat in skjinne hânskodding bewissiget en wat net
In foltôge TLS-hânskodding berikke betsjut dat de ynstelde identiteitsrelaasje hold: it sertifikaat fan de tsjinner keatlingde oan jo CA en jo sertifikaat waard akseptearre. It seit neat oer it logbelied fan de operator, en neat oer oft jo applikaasjes wurkje sille as de tunnel omheech is.
Rûtes en DNS binne lettere fazen fan de ferbining, dus in ûnberikbere intranet-host nei in suksesfolle oanmelding is in ferbiningsprobleem en gjin sertifikaatprobleem. Wurkje op dy laach ynstee fan oanmeldgegevens te wikseljen, en hâld de oarsprong fan it profyl, syn priveemateriaal en syn identiteitskontrôles byinoar as jo it oan immen jouwe.