Teastas VPN féinshínithe: cad a chiallaíonn sé agus cad a bhfuil muinín aige as

Déanann dhá chreideamh an chuid is mó den dochar anseo: go gciallaíonn teastas VPN féinshínithe nach bhfuil an tollán criptithe, agus nach ndéanann suiteáil aon rud a d'iarr an cliant VPN difear ach don VPN. Ní mhaireann ceachtar acu i dteagmháil le himscaradh fíor. Déanann teastas féinshínithe cur síos ar chaidreamh síniúcháin, ní ar fhíorasc slándála, agus braitheann scóip na muiníne a chuireann tú leis ar cén stór a dtiteann sé ann. Chonaic mé deasc chabhrach ag iompórtáil fréamh soláthraí isteach i meaisín Windows chun rabhadh amháin a chiúnú, agus ansin ag caitheamh tráthnóna ag míniú cén fáth ar stop an brabhsálaí ag gearán faoi thairseach neamhghaolmhar. Baineann an dá leath den cheist seo le chéile, mar sin caith leo mar cheann amháin.

Ní stór muiníne é teastas

Iompraíonn an comhad a chuireann an freastalaí i láthair eochair phoiblí, ainm ábhair, ainm eisitheora, dátaí bailíochta agus síntí. Ciallaíonn féinshínithe gurb é an t-ábhar agus an t-eisitheoir an t-eintiteas céanna agus go bhfíoraítear an síniú le heochair an teastais féin. Ní deir aon rud sa sainmhíniú sin go bhfuil an nasc lag, agus ní deir aon rud go nglacfaidh an cliant leis.

Tagann glacadh ó áit eile: comhad CA a dtreoraíonn tú an cliant chuige, méarlorg a chuirfidh tú i gcomparáid de láimh, nó fréamh atá cheana i stór a léann an cliant. Is féidir le himscaradh a bheith go hiomlán slán agus a theastas ag teip i ngach tástáil phoiblí. Tuairisceoidh openssl verify i gcoinne na beartáin chórais eisitheoir anaithnid, agus tá an tuarascáil sin ceart seachas locht.

Is é rogha ca OpenVPN an cás is soiléire de mhuinín atá teoranta don fheidhmchlár. Ainmníonn an comhad sin na hancairí a nglacfaidh an cliant leo, agus féadfaidh sé CA phríobháideach amháin a choinneáil nó, in imscaradh beag, teastas féinshínithe an fhreastalaí féin. Glactar le --peer-fingerprint freisin i leagan 2.6 chun méarlorg SHA-256 a phionnáil in ionad comhad CA a dháileadh. Seasann WireGuard níos faide amach fós: níl aon teastas aige ar chor ar bith, ach eochair phoiblí statach in aghaidh gach piara, mar sin ní fheil an cheist féinshínithe dó.

Cinneann an áit a suiteálann tú muinín cé a fhaigheann sé le hoidhreacht

Cuir an teastas céanna i dtrí áit agus gheobhaidh tú trí gha pléisce éagsúla. Bíonn tionchar ag beartán nach léann ach an cliant VPN ar an gcliant sin. Bíonn tionchar ag fréamh i stór an chórais oibriúcháin ar gach clár a cheistíonn an stór sin. Féadfaidh brabhsálaí a bhfuil a bhunachar muiníne féin aige neamhaird a dhéanamh den dá rud, agus is é sin an fáth a bhféadfadh rabhadh maireachtáil trí iompórtáil a raibh cuma oibre uirthi.

Ar Debian nó Ubuntu, athraíonn scaoileadh comhad in /usr/local/share/ca-certificates/ agus rith update-ca-certificates an beartán córais ar fad. Ar Windows, scríobhann certutil -addstore -f Root chuig stór an mheaisín agus teastaíonn leid ardaithe uaidh, agus dírítear -user a chur leis ar stór an úsáideora reatha ina ionad; ní féidir an dá rud a mhalartú. Coinníonn Firefox a bhunachar NSS féin, mar sin b'fhéidir nach dtiocfaidh iompórtáil ag leibhéal an chórais oibriúcháin chun solais ann riamh.

Tá tábhacht leis an scóip mar gheall ar a bhféadfadh údarás a dhéanamh. Féadfaidh CA eisitheach síniú le haghaidh ainmneacha nach bhfuil aon ghaol aige leo, mar sin glacfaidh aon rud a chuireann muinín sa stór sin leis na sínithe sin. Ní féidir le duilleog amháin phionnáilte é sin a dhéanamh; déanann sé fíordheimhniú ar aitheantas piara amháin go beacht. Más é an aidhm VPN amháin a chur ag nascadh, sroicheann CA atá teoranta don fheidhmchlár nó duilleog phionnáilte é sin, agus is lamhált i bhfad níos mó é fréamh ar fud an mheaisín ná mar a éilíonn an tsíomptóm.

Tá tú fós ag criptiú gan CA phoiblí

Díorthaíonn an chroitheadh láimhe TLS eochracha seisiúin cibé acu a shlabhraíonn teastas an phiara chuig rud a bhfuil muinín agat as cheana nó nach ea. Ní chiallaíonn féinshínithe téacs simplí, agus ní chiallaíonn sé go bhfuil an trácht inléite agus é ar eitilt. Ciallaíonn sé nach bhfuil aon chúis a priori ag an gcliant le creidiúint gur leis an bhfreastalaí a d'iarr sé an eochair.

Is sa bhearna sin a mhaireann ionsaithe fíora. Cripteoidh cliant atá cumraithe chun aon teastas a ghlacadh, cibé trí shocrú fíorúcháin díchumasaithe nó trí chnaipe muinín-arna-fháil a cliceáiltear uair amháin agus a ndéantar dearmad air, go sásta d'aon duine a fhreagraíonn. Tarlaíonn an tascradh sa chéim fhíordheimhnithe, sula mbogann sonraí an fheidhmchláir. Coinníonn criptiú gan seiceáil aitheantais breathnadóir éighníomhach amuigh agus ní dhéanann mórán eile.

Ní sháraíonn muinín as an eisitheoir an tseiceáil ainm

Is cinntí ar leith iad bailíochtú slabhra, meaitseáil ainm agus cuspóir teastais. Féadfaidh slabhra a bheith bailí agus an t-ainm mícheart, agus féadfaidh ainm meaitseáil agus an teastas eisithe do ról eile. Sainmhíníonn RFC 5280 na réimsí a iompraíonn na srianta sin, agus is ábhar do gach feidhmchlár é cé chomh dian agus a fhorchuireann cliant iad.

Déanann OpenVPN an deighilt infheicthe. Pionnálann verify-x509-name an t-ábhar a bhfuiltear ag súil leis trí mheaitseáil name, name-prefix nó subject. Éilíonn remote-cert-tls server go mbeadh teastas an phiara inúsáidte mar theastas freastalaí, rud a dhiúltaíonn teastas cliaint amháin fiú nuair a bhfuil muinín ag an eisitheoir. Ní chuirtear ceachtar de na socruithe in ionad comhad CA a sheoladh.

Scrúdaigh an teastas sula gcinnfidh tú aon rud:

• openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName taispeánann cé a d'eisigh é, do na hainmneacha sin agus go dtí cathain.
• openssl verify -CAfile ca.crt server.crt seiceálann an ndéanann an slabhra a bhfuil tú ag súil leis a sheoladh bailíochtú i ndáiríre ar an duilleog.
• openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -CAfile ca.crt -verify_return_error oibríonn sé le haghaidh críochphointí TLS ar nós tairseach gréasáin; ní sruth TLS simplí é prótacal OpenVPN ar 1194, mar sin ní bhaineann an tástáil sin leis ansin.

Teipeann ar theastas a bhfuil dáta éagsúil aige, gan subjectAltName don ainm a nascann tú leis, nó gan úsáid serverAuth, is cuma cé chomh cúramach agus a suiteáladh an t-ancaire.

Cúig sheiceáil sula nglacfaidh tú le ceann

Cuir an méarlorg i gcomparáid trí chainéal nach é an nasc atá tú ag iarraidh a dheisiú: consól, suiteálaí atá agat cheana, comhad cumraíochta sínithe. Is leor openssl x509 -in server.crt -noout -fingerprint -sha256 ar an bhfreastalaí agus an luach céanna i logáil an chliaint le go mbeadh a fhios agat go bhfuil tú ag féachaint ar rud amháin.

Ansin, cinn cad atá á shuiteáil agat: duilleog amháin, nó údarás ar féidir leis níos mó a bhualadh. Ansin cinn cá dtéann sé, agus ainmnigh na feidhmchláir a léann an stór sin. Scríobh síos an cosán bainte fad is atá sé i gcuimhne agat, mar is é muinín-a-bheith-agat-agus-ar-aghaidh an bealach a n-éiríonn iompórtáil shealadach buan.

Ar deireadh, pleanáil an t-athrú. Caithfear teastas nó méarlorg pionnáilte a nuashonrú tríd an gcanéal iontaofa céanna nuair a rothlaíonn an teastas, agus tá a shaolré eisithe agus cúlghairthe féin ag CA phríobháideach. Má sceitheann an eochair phríobháideach, ní dheisiú cailín ar bith é muinín a chur arís i gcóip den teastas céanna; caithfear an t-aitheantas a athrú.

Má mhaireann rabhadh na cúig sheiceáil go léir, ní hé an cheist úsáideach cé acu cnaipe a chiúnaíonn é ach cén stór a léann an cliant i ndáiríre agus cad as ar tháinig an fhréamh sin. Freagair é sin, agus beidh an iompórtáil atá ar tí agat a dhéanamh ina cinneadh seachas ina fhrithghníomh.