OpenVPN gan CA: conas a dheimhníonn peer-fingerprint na piaraí
Pionnálann méarlorg aon teastas amháin, ní comhroinnt rúin. Lean cad a chlúdaíonn an achoimre, conas a thógann gach taobh a liosta ceadaithe agus cad a chosnaíonn athnuachan.
Roghnaíonn imscaradh beag méarloirg mar go bhféachann údarás teastais cosúil le bonneagar nach bhfuil am ag éinne lena reáchtáil. Tá an instinct réasúnta, ach níl an aicearra a thógann daoine ina ionad—rún amháin de chainéal sonraí a chóipeáil chuig an dá cheann—réasúnta. Coinníonn socrú peer-fingerprint struchtúr TLS slán: coinníonn gach taobh a eochair phríobháideach agus a theastas féin fós, agus deimhníonn gach taobh an taobh eile fós. Is é a athraíonn ná cá bhfuil an deimhniú aincreáilte: ó eisitheoir iontaofa go liosta ghearr d'achoimrí pionnáilte. Toisc go gclúdaíonn achoimre an teastas iomlán seachas ainm, éiríonn athnuachan ina hoibríocht a thógann am fíor.
Cad a ngeallann an méarlorg air i ndáiríre
Achoimre ar an teastas iomlán atá ionchódaithe in DER is méarlorg teastais, ní ar a eochair phoiblí agus ní ar ainm a shuibhéid. Dá bhrí sin tá méarloirg éagsúla ag dhá theastas a bhfuil na hainmneacha céanna agus an eochair chéanna acu ach dátaí bailíochta difriúla. Is é sin a dhéanann an phionnáil bheacht, agus is é sin freisin a dhéanann an athnuachan suaiteach. Ní féidir le pionnál a bheith i gceist muinín a bheith agat as eochair i gcoitinne, mar ainmníonn sé aon déantán amháin ag aon nóiméad dá shaol. Is féidir le haon duine an achoimre a bheith ar eolas acu, agus ní chruthaíonn a bheith ar eolas acu aon rud ann féin.
openssl x509 -in server.crt -noout -fingerprint -sha256
openssl x509 -in client-07.crt -noout -fingerprint -sha256Is é seilbh na heochrach príobháidí comhoiriúnaí a chruthaíonn go bhfuil an teastas sin ag an bpiara, agus is í an achoimre an bealach a shocraíonn an taobh eile ar mhothaigh sé an teastas sin ar chor ar bith. Is é an deighilt sin an fáth nach é an socrú seo an seansocrú rúin chomhroinnte: deimhníonn eochair chomhroinnte aon duine a bhfuil na bearta céanna ar eolas acu, agus deimhníonn pionnál aon teastas amháin. Faigheann gléas difriúil a iontráil féin seachas cóip den rún céanna, rud is difríocht bheag i gcomhaid agus difríocht mhór i raon an damáiste.
Tá an léarscáil cómhalartach, ní siméadrach
Teastaíonn dhá rud ó gach ceannfort: a eochair phríobháideach féin leis an teastas, agus ráiteas faoi na teastais phiaraí a nglacfaidh sé leo. Ar an gcliant is é an ráiteas sin achoimre theastas an fhreastalaí; ar an bhfreastalaí is é liosta achoimrí na gcliant cláraithe. Taispeánann sampla oifigiúil do shocruithe beaga do Community 2.6 an socrú le peer-fingerprint, agus is fiú é a léamh sula roghnaíonn tú an tsamhail mhuiníne seo d'imscaradh fíor. Ní liosta amháin aistrithe iad an dá threo, agus ní theipeann orthu ag an nóiméad céanna.
| Verification direction | What is pinned | What never leaves that endpoint | How a wrong pin shows up |
|---|---|---|---|
| Client checks the server | One digest, for the server certificate | The server private key | The client aborts during the TLS handshake |
| Server checks the client | A digest per enrolled client | Each client private key | The server rejects the peer before a tunnel exists |
Cuireann cur le gléas in eagar liosta ceadaithe ar an bhfreastalaí, gan ábhar príobháideach cliaint atá ann cheana a chóipeáil agus gan eochair an fhreastalaí a bhogadh áit ar bith. Teipeann ar an dá threo go neamhspleách freisin, rud atá úsáideach le linn diagnóise: cibé taobh a dhúnann an crogadh láimhe is é an taobh nár comhlíonadh a ionchas. Má dhiúltaíonn an cliant don fhreastalaí, ní thagann an achoimre leis an teastas a chuirtear i láthair. Má dhiúltaíonn an freastalaí don chliant, tá achoimre an chliaint sin ar iarraidh ón liosta, nó tá an cliant ag cur teastas eile i láthair seachas an ceann a cláraíodh.
Clárú: conas a thagann gléas nua isteach
Gin eochair agus teastas an ghléis nua san áit a mbeidh an eochair phríobháideach, ansin bog an déantán poiblí amháin chuig an bpáirtí a chaithfidh é a phionnáil. Aistrigh an achoimre ionchais trí chainéal a bhfuil muinín agat as cheana, agus déan comparáid idir an teastas iomlán seachas ainm a bhféachann sé eolach. Ní chruthaíonn achoimre a cóipeáladh ón íoslódáil neamhfhíoraithe chéanna leis an teastas ach go n-aontaíonn an dá chomhad le chéile. Is seiceáil comhsheasmhachta é seo agus ní seiceáil féiniúlachta, agus is é an bealach is ciúine a lagaítear an dearadh seo.
Ar an bhfreastalaí, is athrú cumraíochta é an achoimre a chur leis a théann tríd an mbainisteoir gnáth agus a leanann athnascadh. Deimhnigh go nascann an gléas nua agus nach nascann gléas ar baineadh a achoimre a thuilleadh. Fágann tástáil nach gclúdaíonn ach an cás dearfach an liosta ceadaithe gan fhíorú, agus is é sin go díreach an riocht a bheidh ort i gceann sé mhí.
Is é an t-athnuachan an nóiméad costasach
Tagann gach teastas in éag, agus tá achoimre nua ag teastas nua fiú nuair a fhanann an eochair agus na hainmneacha mar a chéile. Faoi eisitheoir bíonn an athnuachan trédhearcach do phiaraí a chuireann muinín san eisitheoir sin; faoi phionnáil is imeacht cláraithe é do gach piara a phionnálann an teastas.
Pleanáil an t-ord roimh an dáta éaga seachas ina dhiaidh. Dáil an achoimre nua ar na páirtithe a dheimhníonn í, cuir an t-athrú i bhfeidhm, agus ansin amháin malartaigh an teastas ar an gceannfort. Ní fhágann an t-ord sin aon fhuinneog ina n-easaontaíonn an dá thaobh faoi cén teastas atá reatha. Coinnigh an liosta féin faoi athbhreithniú freisin, mar carnann liosta pionnáilte iontrálacha do ghléasanna a cuireadh ar scor míonna ó shin. Is féiniúlacht í gach iontráil atá as dáta a dheimhnítear fós má mhaireann a heochair, mar sin is gníomh slándála é ceann a bhaint seachas obair tí.
Cad nach socraíonn an léarscáil mhuiníne
Is ciseal amháin í an fhíordheimhniú, agus ní deir an léarscáil phionnáilte aon rud faoin linn seoladh, na bealaí a bhrúitear, MTU an chosáin ná polasaí an bhalla dhóiteáin. Fanann siad sin ina gcumraíocht ar leith le módanna teipe ar leith. Is imscrúdú difriúil é tollán a dheimhnítear agus nach ngearrann aon trácht ná ceann nach n-éiríonn riamh.
Ní scálaíonn an léarscáil go deireadh an domhain ach an oiread, agus is ag PKI atá bunaithe ar eisitheoir a chríochnaíonn na himscarthaí is mó. Baineann an rogha sin le hoibríochtaí seachas le cripteagrafaíocht, mar is saoire féiniúlachtaí a chur leis agus a scor trí aon údarás ná liosta a chur in eagar ar gach piara de réir mar a fhásann an cabhlach. Nuair nach dtacaíonn cur i bhfeidhm cliaint leis an rogha, is é an freagra samhail mhuiníne chomhoiriúnach a dhoiciméadaíonn an cliant sin, nó ionadaí a dtacaítear leis. Ní chuireann an rabhadh fíoraithe a chur faoi chois an tacaíocht sin leis, agus is é luach iomlán an dearadh go dtarlaíonn fíorú fós.