Selsûndertekene kliïntsertifikaat? De VPN-tsjinner wegeret it noch

De operator stjoert in adres en in brûkersnamme, en de kliïnt freget om in CA-bestân, in sertifikaat en in kaai. Dy trije lokaal oanmeitsje fielt as de fanselssprekkende folgjende stap. It leveret in sertifikaat dêr't allinnich josels masine yn leaut. It fertrouwen fan de tsjinner is ferankere yn in CA dy't jo net behearskje, dus de hânskud einiget foardat it begjint.

Fertrouwen wennet op de tsjinner, net yn jo profyl

Sertifikaat-autentikaasje is in ferliking. De kliïnt presintearret in sertifikaat; de poarte kontrolearret oft it ûndertekene is troch ien fan de CA's yn syn konfiguraasje.

Jo profyl neamt it CA-bestân dat de kliïnt brûke moat om de tsjinner te ferifiearjen. It kin net in CA neame dy't de tsjinner brûke moat om jo te ferifiearjen. Dy helte fan de konfiguraasje is net fan jo.

In sels makke sertifikaat falt by dizze ferliking sels as it technysk perfekt is. It hat in jildige hantekening, in ûnderwerp en datums, mar de útjouwer is in CA dêr't de poarte noch noait fan heard hat. De flater ferskynt by it hânskud, neidat de tsjinner al om in sertifikaat frege hat. Neat yn it kliïntprofyl kin it antwurd feroarje.

Wêrom't in selsûndertekene sertifikaat net ferfange kin

In selsûndertekene sertifikaat is ûndertekene mei syn eigen kaai. De hantekening ferifiearret tsjin itselde bestân, wat it selsgearhingjend en nutteleas makket as bewiis foar de poarte fan in oar.

De poarte freget net oft it sertifikaat yntern gearhingjend is. It freget oft in fertroude útjouwer it ûndertekene hat.

Dêrom binne de flaterberjochten betiizjend. De kliïnt kin in ferifikaasjeflater melde dy't as in tsjinnerprobleem klinkt, wylst de tsjinner in ûnbekende útjouwer logt. Beide beskriuwe deselde misferhâlding fan tsjinoerstelde kanten.

It CSR-paad hâldt jo priveekaai

Jo kinne it measte fan it wurk noch lokaal dwaan. Meitsje in kaaipear, bou in sertifikaatûndertekeningsfersyk om de iepenbiere helte hinne en stjoer dat fersyk nei de operator. Allinnich it fersyk ferlit jo masine. De priveehelte bliuwt wêr't jo it makke hawwe.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

De operator ûndertekenet it fersyk mei syn CA en stjoert in sertifikaat werom. Jo priveekaai hat nea reizge, en it resultaat keatst oan it anker dat de poarte fertrout.

Behearde tsjinsten slaan de CSR faak oer en jouwe it hiele bondel út. Dat is in ridlike ruil as deselde oanbieder de tunnel al einiget en de CA hat. De hoede foar de kaai wurdt net better troch him te hâlden, want de oanbieder koe op elk momint in nije meitsje.

Bondels wurde ymportearre, net ynstallearre

Bondels fan leveransiers mei feiligensklinkende nammen binne faak OpenVPN-profylen. Se befetsje konfiguraasje en soms sertifikaten, en se ynstallearje neat. Ymportearje it bestân yn in kliïnt dy't it protokol praat, en de ferbining is konfigurearre.

De behannelingsregel folget út 'e ynhâld. As it profyl in priveekaai befettet, is it in bewiis en fertsjinnet it deselde soarch as in wachtwurd: gjin e-post, gjin bewarplak, gjin dielde downloadmap. As de operator ca.crt, client.crt en client.key apart leveret, bewarje se dan byinoar mei beheinde rjochten en wiis it profyl derop.

Foegje de kontrôles ta dy't de operator miskien oerslein hat

In troch de router makke profyl mist soms de ferifikaasje fan 'e tsjinstoer. remote-cert-tls server easket dat it sertifikaat fan 'e tsjinstoer it doel tsjinnerautentikaasje draacht, sadat in kliïntsertifikaat net as tsjinner werhelle wurde kin. Dy iene rigel is in lytse feroaring mei in dúdlike rjochtfeardiging.

verify-x509-name giet fierder as de operator it ferwachte ûnderwerp of de SAN neame kin. Beide binne lytse tafoegings oan in profyl, en beide binne ferdigenber. Ynspektearje wat jo krigen hawwe foardat jo it ymportearje.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Ferifikaasje-ynstellingen binne gjin reparaasje fan in brutsen keatling. As de útjouwer ferkeard is, is it antwurd in sertifikaat fan 'e goede CA, net in flagge dy't de kontrôle útskeakelet. Ferifikaasje útskeakelje makket fan in autentikaasjeflater in ûnûntdutsen flater.

Freegje om ien bondel: it sertifikaat fan 'e autoriteit as PEM, in kliïntsertifikaat dat dy autoriteit ûndertekene hat, in kaai dy't jo makke hawwe of dy't fia in kanaal kaam dat jo fertrouwe, en de krekte tsjinnernamme dy't it sertifikaat presintearje moat. Skriuw de ferfaldatum yn itselde berjocht, want in ferfallen sertifikaat liket moannen letter as in netwurkstoar.