Wêrom it kopiearjen fan ca.key nei elke VPN-klant de CA brekt
In klant ferifiearret it iepenbiere sertifikaat fan ’e CA; hy hat nea de kaai nedich dy’t ûndertekenet. ca.key nei elk apparaat kopiearje jout it rjocht fan útjefte oan wa’t mar ien kopy nimt.
Earnewêr yn ’e ynstallaasje-ynstruksjes wurdt in map folslein nei elke laptop kopiearre, om’t dat makliker wie as beslute hokker bestannen dêr hearre. Dy map befettet ca.key, en op it stuit dat er in twadde apparaat berikt, hâldt de sertifikaatautoriteit op in autoriteit te wêzen. Elke besitter kin no identiteiten útjaan dêr’t de rest fan it netwurk op fertrouwe sil.
It is de muoite wurdich dizze betizing ien kear útinoar te heljen, om’t de beide bestannen opinoar lykje en tsjinstelde dingen dogge.
Ferifikaasjemateriaal en ûndertekeningsmateriaal
In klant hat it iepenbiere sertifikaat fan ’e CA nedich om te kontrolearjen dat it sertifikaat dat in tsjinpartner oanbiedt, troch dy autoriteit ûndertekene is. Dat is in ferifikaasjetaak en dy freget hielendal gjin geheim. It ûndertekenjen fan in sertifikaat fan in tsjinpartner is in oare taak, ien kear útfierd troch wa’t de CA beheart, mei de priveekaai dy’t syn beskerme opslach nea ferlit. Dy beide taken skieden hâlde is it hiele doel fan twa bestannen leverje.
Sa heart ca.crt yn it profyl en heart ca.key nearne tichtby. De bestânsnammen binne in konvinsje, gjin garânsje, en dêrom moat it type ûndersocht wurde yn stee fan út ’e namme ôflaat.
In arsjitektuer mei in tuskenlizzende CA of in online-útjefte-tsjinst is dêr gjin útsûndering op. It is de standert manier om ûndertekeningsfermogen by de einpunten wei te hâlden wylst apparaatsertifikaten op skaal útjûn wurde.
Wat in klant mei syn eigen kaai bewize moat
Elk apparaat krijt syn eigen kaaipel en syn eigen sertifikaat, ien kear troch de CA ûndertekene. De klant biedt dat sertifikaat oan en bewizet dat er de byhearrende priveekaai besit, en de tsjinner beslút oft er it akseptearret. Dat is de identiteit dy’t ynlutsen wurdt as in laptop ferlern giet.
It kontrast telt it meast nei in stellerij. Mei identiteiten per apparaat wurdt ien bleatstelde klant fuorthelle troch ynlûken of troch it fuortheljen fan ’e tsjinpartner, en de rest fan ’e float bliuwt wurkjen.
In útlekte kaai fan ’e autoriteit kin net sa behannele wurde. Elk sertifikaat dat er ea ûndertekene hat of hie kind, wurdt fertocht, dus it antwurd is it fertrouwen ferfange en net ien inkeling. Dat is in projekt, gjin ticket.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Lês in bestân foardat jo it earne hinne kopiearje
Twa opdrachten fertelle jo hokker soarte objekt jo yn ’e hân hawwe sûnder in geheim te printsjen. De earste neamt it ûnderwerp en de CA-flagge op in sertifikaat; de twadde falidearret in kaai en meldt it type. Rin beide op ’e bestannen yn it bondel dat jo op it punt steane te fersprieden. Alles wat as priveekaai falidearret, heart net yn in klantmap.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
As de twadde opdracht slagget op in bestân dat yn in klantbondel sit, stopje dan en behannelje it bondel as kompromittearre. Utfier dy’t seit dat in kaai jildich is, seit ek dat er oanwêzich is, en oanwêzigens is it hiele probleem.
Merk ek de oare rjochting op: in klantprofyl befettet mei rjocht de eigen priveekaai fan dy klant. Elk fûn kaai fuorthelje brekt de ferbining sûnder wat te ferbetterjen, dus it objekt moat identifisearre wurde foardat it fuorthelle wurdt.
In kaai dy’t jo al ferspraat hawwe, beheine
Tink net dat it fuortheljen fan ’e lokale kopy de bleatstelling weromdraait. Wa’t it bestân hân hat, kin it kopiaat hawwe, en de feilige oanname is dat er dat dien hat. Folgje it ynsidintproses fan ’e operator en ferfang de fertrouwensanker, en jou apparaatsertifikaten opnij út ûnder in nije CA.
Feroarje dan it ferpakken dat it probleem makke hat. Stjoer in mapylisting mei in eksplisite tastiene list fan bestannen, hâld de CA-kaai op in masine dy’t nea by de klantfloat komt, en skriuw op hokker systeem him hat.
As de autoriteit faak útjaan moat, ferpleats it ûndertekenjen efter in tsjinst of in tuskenlizzende mei in smel berik en koarte jildigens. Sa leit in takomstige flater in part fan ’e útjefte bleat yn stee fan ’e fertrouwenswoartel fan ’e hiele útrôl.