Sula n-athraíonn tú é: eochair SSH nó deimhniú OpenVPN

Teipeann an t-iompórtáil le hearráid deimhnithe, mar sin breathnaíonn an chéad chéim réasúnta mar athrú formáide. Cuireann an instinn sin daoine síos cosán ina n-athraíonn síneadh an chomhaid agus ina bhfanann an diúltú go díreach mar an gcéanna. Is réada creidiúnaithe ar leith iad líne ssh-ed25519 in authorized_keys agus deimhniú cliaint OpenVPN, le heisitheoirí éagsúla, ionchóduithe éagsúla agus conairí cúlghairme éagsúla. Má théann tú trí na seiceálacha seo in ord, beidh a fhios agat laistigh de nóiméad an féidir le hathrú formáide cabhrú ar chor ar bith.

Cén réad atá agat i ndáiríre?

Tá cúig rud ann a dtugann daoine eochair orthu, agus ní bhíonn ann ach ceann amháin díobh sin a theastaíonn ó phróifíl TLS. Is éard atá in eochair phoiblí SSH ná líne amháin téacs le réimír chineáil agus ualach base64. Is éard atá i ndeimhniú OpenSSH ná an eochair sin móide síniú, principals agus roghanna, a tháirgeann ssh-keygen ag feidhmiú mar a CA bheag féin. Is struchtúr iomlán difriúil é deimhniú X.509, a iompraíonn ábhar, fuinneog bailíochta, síntí agus síniú ó údarás deimhniúcháin. Is é an eochair phríobháideach an leath rúnda, agus is gnách gur deimhniú móide a shlabhra móide an eochair phríobháideach atá i mbearrthóir a eisítear, in aon chomhad amháin.

Cosnaíonn an chéad tástáil ordú amháin. Cuir openssl i dtreo an chomhaid agus iarr air struchtúr an deimhnithe a pharsáil:

openssl x509 -in client.crt -noout -subject -issuer

Mura n-éiríonn leis sin le hearráid unable-to-load nó PEM, ní deimhniú X.509 é an comhad is cuma cén t-ainm a thug tú air. Ní athscríobhann athainmniú an ASN.1 istigh, agus ní dhéanann fillte líne eochrach poiblí i dtéacs ceanntásc PEM é ach an oiread.

An n-iarrann an phróifíl deimhniú ar chor ar bith?

Is modh fíordheimhniúcháin amháin iad deimhnithe cliaint i measc roinnt modhanna, agus ní iarrann a lán próifílí TLS atá ag obair ceann ar bith riamh. Is féidir le freastalaí úsáideoirí a fhíordheimhniú trí bhreiseán, trí ainm úsáideora agus focal faire, nó trí inneall cúil comharthaí, agus é fós ag éileamh go bhfíoróidh an cliaint céannacht an fhreastalaí. Mura bhfuil treoir deimhnithe cliaint sa phróifíl, ní iarrfar deimhniú riamh, agus ní chuirfidh aon athrú formáide ar an ngeata ceann a iarraidh.

Is tríú cás iad na seanchumraíochtaí eochrach statach. Tá siad ann roimh an gcroitheadh láimhe TLS agus bíonn siad ag súil le comhad rúin a roinneadh roimh ré, agus mar sin ní féidir eochair phoiblí a ghreamú sa réimse sin ach an oiread. Léigh cad a iarrann an phróifíl i ndáiríre sula gcinneann tú go bhfuil an creidiúnaithe mícheart.

Cad is féidir agus nach féidir le reionchódú

Tá coimeádáin mhalartacha dhlisteanacha ag eochracha príobháideacha. Is féidir an eochair RSA nó EC chéanna a scríobh mar PEM traidisiúnta, mar PKCS#8, nó taobh istigh de bhearrthóir PKCS#12, agus déanfaidh uirlisí tiontú eatarthu go fonnmhar. Tá scéal den chineál céanna ag eochracha poiblí: is féidir le ssh-keygen foirm RFC 4716 d’eochair SSH a astú, agus tuigeann OpenSSH a fhormáid deimhnithe féin freisin. Is ionadaíocht é sin go léir, agus ní iontaoibh í an ionadaíocht.

Is é nach féidir le hathrú formáide síniú a chruthú ó údarás deimhniúcháin nár fheic aon uair d’eochair. Is éard is deimhniú ann ná dearbhú ó eisitheoir go mbaineann eochair phoiblí áirithe le hábhar áirithe chun críche áirithe. Caomhnaíonn reionchódú bearta na heochrach agus fágann sé an dearbhú as láthair, mar sin níl aon rud ag an ngeata le bailíochtú in aghaidh a stórála iontaoibhe.

Seo an chéim ina dteipeann ar an gcuid is mó de na hiarrachtaí go ciúin: críochnaíonn an comhad le .crt anois, léann an cliaint é gan ghearán, agus éiríonn an croitheadh láimhe as mar sin féin mar nach féidir leis an bpiara slabhra a thógáil chuig eisitheoir iontaofa.

Cá dtéann an t-údarás deimhniúcháin isteach sa phictiúr

Tosaíonn fíorchlárú le péire eochrach atá faoi do smacht agus le hiarraidh shínithe deimhnithe a iompraíonn an t-ábhar a bhfuil súil ag an oibreoir leis. Fíoraíonn an t-oibreoir an teideal, síníonn sé an iarraidh le heochair an CA, agus cuireann sé an deimhniú eisithe ar ais mar aon le haon slabhra idirmheánach a chaithfidh an cliaint a chur i láthair. Ansin bíonn deimhniú an CA a shínigh é ag teastáil ón cliaint, mar sin an rud a ligeann dó a dheimhniú gur le leithdháileadh céanna an freastalaí a bhfuil sé ag caint leis.

Is furasta dearmad a dhéanamh den chomhad deireanach sin agus ní féidir é a chur in ionad. Ní bhaineann eochair shínithe an CA féin le cumraíocht an chliaint riamh, agus ní tháirgeann aon mhéid tiontaithe áitiúil an slabhra a bhí le fáil agat.

Cad a chosnaíonn athúsáid na heochrach SSH duit

Cuir i gcás gur tháirg athrú formáide rud éigin inghlactha. Ceanglaíonn athúsáid aon phéire eochrach le haghaidh rochtain SSH agus fíordheimhniú VPN dhá chinneadh slándála neamhspleácha fós. Stopann baint líne authorized_keys logálacha SSH, agus ní dhéanann sí aon rud do dheimhniú atá eisithe cheana ag CA an VPN don eochair phoiblí chéanna. Cúlghairtear taobh an VPN trína mheicníocht féin, is é sin liosta cúlghairme na ndeimhnithe nó taifead cláraithe an oibreora.

Mar sin críochnaíonn an seicliosta le coinníoll stoptha seachas le cleas. Mura bparsálann openssl an comhad mar dheimhniú, stop ag tiontú agus déan cur síos ar a bhfuil agat: eochair SSH, deimhniú SSH, deimhniú X.509, eochair phríobháideach nó bearrthóir. Mura n-iarrann an phróifíl deimhniú cliaint, stop agus fiafraigh cén modh fíordheimhniúcháin a bhfuil súil ag an bhfreastalaí leis. Ní dhéantar clárú mar an gcéad chéim eile ach amháin nuair a dhíríonn an dá fhreagra ar X.509, agus téann an comhrá sin i bhfad níos tapúla nuair a bhíonn an t-ainmfhocal ceart sa chéad abairt.