Féinsínithe nó CA poiblí do VPN: cad a athraíonn i ndáiríre

Sroicheann tú leathanach na dteastas i socrú VPN, feiceann tú rogha fhéinsínithe saor in aisce taobh le CA poiblí íoctha, agus cloiseann an cheist cosúil le rogha slándála. Is rogha lucht féachana atá ann i ndáiríre. Cumhdaíonn an dá rogha an tollán leis na bunghnéithe céanna, agus éiríonn an dá cheann gan luach má sceitheann an eochair phríobháideach. Is é a dhealaíonn iad cé a dhéanann an maíomh faoi chéannacht an fhreastalaí agus cé atá in ann an maíomh sin a sheiceáil.

Déanann teastas dhá phost a mhearbhalltar

Ceanglaíonn teastas eochair phoiblí le hainm, agus déanann an eochair an obair chriptithe agus sínithe. Is ráiteas ar leith é an síniú ar an teastas: tá sé seiceáilte ag údarás éigin gur leis an sealbhóir eochrach seo an t-ainm. Déanann teastas féinsínithe an ráiteas sin faoi féin, rud nach maíomh tríú páirtí ar chor ar bith é.

Teastaíonn an leagan tríú páirtí ó shuíomhanna gréasáin poiblí, mar go dtagann cuairteoirí gan aon chaidreamh roimhe agus go mbraitheann siad ar stór muiníne an bhrabhsálaí. Ní strainséir é cliant VPN. Tugann tú an teastas CA dó, nó biorann tú teastas an fhreastalaí, laistigh den phróifíl a shuiteálann sé, mar sin ritheann an fíorú i gcoinne an údaráis a roghnaigh tú go beacht. Ní gá aon CA tráchtála a bheith páirteach chun go gciallódh an tseiceáil sin rud ar bith.

Tagann neart an tseisiúin a bhíonn ann as méid na heochrach agus as an tsraith chriptithe, ní ón síneoir. Sin é an fáth go bhfuil sé mícheart go simplí teastas féinsínithe a thabhairt "níos lú criptithe"; tá sé níos lú ráthaithe go forleathan, agus is airí éagsúil é sin.

Cá dtugann CA poiblí a tháille tuillte aige

Is é an cás is soiléire an leathanach riaracháin. Má chaithfidh comhghleacaithe, conraitheoirí nó aon duine eile gan phróifíl ullmhaithe comhéadan gréasáin an fhreastalaí VPN a oscailt gan rabhadh brabhsálaí, bainfidh teastas a bhfuil muinín phoiblí as an bhfriotóir sin. Tá muinín ag an mbrabhsálaí as an síneoir cheana féin, mar sin níl aon rud le hiompórtáil agus aon rud le míniú.

Tá costais ag baint leis an áisiúlacht sin ar fiú iad a ainmniú sula gceannaíonn tú. Caithfear athnuachan a uathoibriú nó briseann an suíomh de réir sceidil, nochtann teastais phoiblí an t-óstainm i logaí trédhearcachta teastas, agus cuireann teorainneacha ráta eisithe pionós ar script a dhéanann iarracht arís ró-shásta. Ní cúis ar bith iad sin le CA poiblí a sheachaint, ach is obair oibriúcháin é a aistríonn CA príobháideach áit eile.

Is é an rud nach ndéanann teastas poiblí ná d'úsáideoirí a fhíordheimhniú. Is cinneadh ar leith é céannacht an chliaint, a dhéantar le teastais chliaint, pasfhocail nó dara fachtóir, agus ní deir an CA a shíníonn an freastalaí aon rud faoi cé atá ceadaithe teacht isteach air.

Cá n-oirfidh CA príobháideach do VPN

Le haghaidh VPN príobháideach le tacar cliant atá ar eolas, is é do CA féin a reáchtáil an rogha traidisiúnta. Cruthaíonn tú an CA uair amháin, síníonn tú teastas an fhreastalaí le hainm a úsáidfidh na cliaint, agus dáileann tú teastas an CA laistigh de gach próifíl. Ansin fíoraíonn gach cliant an freastalaí i gcoinne d'údaráis, agus ní fhoghlaimíonn aon pháirtí seachtrach an t-óstainm.

Tá na costais fíor ach teoranta. Tabharfaidh brabhsálaithe rabhadh nuair a osclaíonn duine an leathanach riaracháin go díreach, mar níl cúis ar bith ag an mbrabhsálaí muinín a bheith aige as do CA. Tagann dáileadh próifíle chun bheith ina chuid den ionduchtú, agus ciallaíonn rothlú an CA teagmháil le gach cliant. Is praghsanna inghlactha iad sin do sheirbhís le deichniúr nó caoga úsáideoir ar eolas agus is pianmhar iad do phointe deiridh poiblí le mílte.

Déanann coinníoll amháin an socrú iomlán bailí: caithfear an fíorú tarlú. Glacann cliant atá cumraithe chun earráidí teastais a neamhaird le haon fhreastalaí a chuireann aon teastas i láthair, mar sin imíonn an ráthaíocht chéannachta agus fanann an chriptiú. Is é an socrú sin an fhíor-laige in formhór scéalta "tá féinsínithe neamhshlán".

Cinneann eochair phríobháideach an CA cad is féidir leat a dhéanamh níos déanaí

Tagann an t-iontas de ghnáth míonna níos déanaí, nuair a theastaíonn uait gléas a chur leis. Teastaíonn eochair phríobháideach an CA chun teastas cliaint a eisiúint, agus mar an gcéanna chun liosta athghairme a chruthú. Má fuair tú freastalaí mar oidhreacht a bhfuil na comhaid teastais agus eochrach aige ach nach bhfuil eochair an CA aige, ní féidir leat aon rud nua a shíniú. Is iad do roghanna an PKI a atógáil agus teastas CA nua a thabhairt do gach cliant, nó aistriú go fíordheimhniú pasfhocail, arb é múnla slándála difriúil é agus nach dtugann ar ais an rud a cailleadh.

Tá dhá ghreim níos lú ina gcónaí sa chríoch chéanna. Glacann na scripteanna easy-rsa leis go bhfuil tú sa chomhadlann ina bhfuil siad, mar sin ciallaíonn earráid comhaid atá ar iarraidh an suíomh mícheart de ghnáth seachas suiteáil damáistithe. Agus tá dearadh atá bunaithe ar theastais amháin go hiomlán dlisteanach: is féidir leat teastais chliaint a éileamh gan eochair réamhroinnte, ar choinníoll go bhfuil ceann ag gach cliant agus go bhfíoraíonn an freastalaí an slabhra.

Eisigh teastas amháin in aghaidh an ghléis seachas teastas cliaint comhroinnte amháin don fhoireann iomlán. Ansin cosnaíonn ríomhaire glúine caillte athghairm amháin duit seachas ateisiúint do gach duine.

Seiceáil cad a fuair tú mar oidhreacht

Sula ndéanfaidh tú aon athrú a phleanáil, léigh an teastas atá agat cheana féin:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Má tá an t-eisitheoir cothrom leis an ábhar, tá an teastas féinsínithe, rud is rogha dearaidh é seachas locht. Insíonn na dátaí duit cathain a thiocfaidh athnuachan chun bheith ina fhadhb ag duine éigin, agus deimhníonn fíorú rathúil i gcoinne an CA a bhfuil sé ar intinn agat a sheoladh go n-oibríonn an slabhra sula dtrialann aon chliant amháin é.

Ansin roghnaigh de réir lucht féachana agus dáilte: CA poiblí nuair a chaithfidh brabhsálaithe anaithnide muinín a bheith acu as an leathanach riaracháin, CA príobháideach nuair a fhaigheann gach cliant próifíl a rialaíonn tú. Níl ceachtar freagra níos criptithe ná an ceann eile.