Cad a tharlaíonn nuair a athsholáthraíonn tú údarás deimhnithe VPN

Ní hé athsholáthar údaráis deimhnithe VPN ná babhtáil comhaid. An nóiméad a shíníonn an CA nua a chéad deimhniú, caithfidh gach bailíochtóir atá fós ag brath ar an seancheann amháin cinneadh a dhéanamh, agus leanann óstairí nach bhfaigheann an t-ancaire nua riamh orthu ag diúltú piaraí maithe. Chonaic mé é ag dul chun donais sa dá threo: d'fhoghlaim an geata an CA nua agus níor fhoghlaim na cliaint é, mar sin theip ar naisc nua, agus d'fhan tolláin a bhí in airde cheana in airde agus thug siad le tuiscint gur fadhb ródaithe a bhí sa chliseadh. Seo a leanas a athraíonn, san ord ina dtagann na teipeanna chun solais.

Athsholáthar amháin, dhá athrú ar leithligh

Is ainm, eochair phoiblí agus an eochair phríobháideach a shíníonn é údarás deimhnithe. Ní chuireann bailíochtóirí muinín in «an CA» go teibí riamh. Cuireann siad muinín i ndeimhniú amháin ar leith atá suite i stór muiníne cheana, agus ní ghlacann siad le heisitheoir ach amháin má shroicheann slabhra síniúchán an chóip stóráilte sin. Dá bhrí sin athraíonn athsholáthar an CA dhá rud a theipeann go neamhspleách: cé na hancaireachtaí a nglactar leo agus cé na féiniúlachtaí piaraí a eisíodh fúthu.

Bailíochtaíonn formhór na n-imscarthaí VPN sa dá threo. Déanann an cliant fíordheimhniú ar dheimhniú an gheata, agus déanann an geata fíordheimhniú ar dheimhniú an chliaint. Fágann rolladh nach ndéanann ach an beartán cliaint a athnuachan go ndiúltóidh an freastalaí gach cliant a thaispeánann féiniúlacht ón tsean-CA fós, agus tá a mhalairt chomh coitianta céanna. Liostaigh na pointí forfheidhmithe ar dtús: stóir mhuiníne na gcliaint, comhad ca an gheata, aon seachfhreastalaí a chríochnaíonn TLS os a chomhair, agus an tóireadóir a sheiceálann an críochphointe ón taobh amuigh.

Cad a sheiceálann bailíochtóir, in ord

Dreapann bailíochtú conaire ó dheimhniú an phiar trí aon idirghabhálaithe go dtí go sroicheann sé ancaire iontaofa. Ag gach céim fíoraíonn sé an síniú, seiceálann sé go bhfuil gach deimhniú laistigh dá fhuinneog bailíochta, agus dearbhaíonn sé go gceadaíonn bunshrianta agus úsáid eochrach don eisitheoir síniú. Ní dhéanann an feidhmchlár breathnú ar an deimhniú duille ach ansin: caithfidh na hainmneacha malartacha ábhair an t-ainm a dialaíodh a chlúdach, agus caithfidh an úsáid eochrach sínte fíordheimhniú freastalaí nó cliaint a cheadú.

Chun an tsiúlóid sin a athdhéanamh as líne, díríonn -CAfile chuig an mbeartán beacht a imscarfar, ní chuig stór an chórais. Seachas sin tá tú ag tástáil an óstair, ní an t-athrú:

openssl verify -CAfile new-ca.crt gateway.crt
openssl verify -CAfile new-ca.crt -untrusted intermediate.crt client.crt
openssl x509 -in gateway.crt -noout -subject -issuer -dates
openssl s_client -connect gw.example.net:443 -CAfile new-ca.crt

Ní oibríonn an t-ordú sin ach i gcoinne éisteoir TLS lom ar nós leathanach riaracháin HTTPS an gheata; tagann cainéal rialaithe OpenVPN roimh TLS, mar sin ní féidir le s_client criathrú an tolláin a scrúdú.

Tá na rialacha tógála conaire taobh thiar de na hearráidí sin le fáil i RFC 5280 alt 6. Míníonn siad na teipeanna a bhféachann go treallach ar shlí eile: idirghabhálaí caite nach cuimhin le héinne, deimhniú a chuireann a úsáid eochrach cosc ar shíniú, nó srianainm a eisíonn an t-óstach atá á thástáil agat.

Cén fáth a leanann an sean-tollán ag obair

Coinníonn TLS agus OpenVPN araon seisiún bunaithe beo tar éis an chrobhaing láimhe a bheith críochnaithe. Ní dhéanann aon rud deimhniú an phiar a athbhailíochtú de réir an phaicéid, mar sin leanann cliant a nasc roimh an athrú ag seoladh tráchta go dtí go n-athchaithfidh sé, go n-athnascfaidh sé, nó go dtiteann an tollán. Is é an bhearna sin is cúis le hathsholáthar CA breathnú go maith ar feadh uaire agus ansin teip ag an nóiméad is measa: múscailtear ríomhaire glúine as codladh, téann mapáil NAT in éag, atosaíonn geata.

Síneann atosú seisiúin an mheabhlaireacht níos faide. Ligeann ticéad seisiúin TLS don chliant filleadh gan deimhnithe a sheoladh arís, agus scipeálann atosú bailíochtú conaire mar gheall go ndearna an chéad chrobhaing láimhe é cheana. Mar sin is é an fíortástáil ná crobhaing láimhe iomlán i bpróiseas úr. Atosaigh an cliant seachas an tollán a athnascadh, agus ar phróifíl tástála breithnigh ticéid a dhíchumasú ionas nach féidir leis an gconair atosaithe slabhra briste a cheilt.

Coinnigh an tsraith eochrach statach scartha ó seo. Cuireann tls-auth HMAC leis an gcainéal rialaithe, criptíonn agus fíordheimhníonn tls-crypt é, agus ní iompraíonn ceachtar acu ábhar deimhnithe, mar sin is athrú ar leithligh é rolladh ceachtar acu lena mhód teipe féin. Críochnaíonn imscarthaí a mheascann an dá rud le cliant a bhfuil a eochair statach ceart, a dheimhniú as dáta agus nach luann a theachtaireacht earráide ceachtar acu.

Gaiste athúsáide ainm an ábhair

Tá sé mealltach an t-ainm sainiúil a bhí ag an réamhtheachtaí a athúsáid ionas nach gcaithfidh aon rud síos an slabhra athrú. Coinníonn sé sin líne an eisitheora seasmhach san chomhéadan agus scriosann sé an t-aon chomhartha atá uait. Ní féidir dhá dheimhniú a bhfuil ábhair chomhionanna agus eochracha éagsúla acu a idirdhealú de réir ainm, mar sin tugann beartán a bhfuil an dá ancaire ann dhá iarrthóir don bhailíochtóir agus aon riail roghnaithe.

Féadfaidh tógáil conaire ansin an ceann mícheart a phiocadh, «ní féidir deimhniú an eisitheora áitiúil a fháil» a thuairisciú agus an t-ancaire ceart i láthair, nó éirí le hóstach amháin agus teip ar óstach eile a bhfuil an beartán céanna aige, mar gheall go raibh ord na n-iarrthóirí difriúil. Má chaithfear an t-ainm a athúsáid, coinnigh an dá ancaire i gcomhaid ar leithligh le linn an aistrithe agus lódáil go sainráite iad, agus ná cónaidhm iad go dtí go dtaispeánfaidh gach piar an t-eisitheoir nua. Seachas sin tabhair ainm coiteann ar leith don athsholáthar — is leor iarmhír ghlúine nó dáta — ionas go dtuairisceoidh na logaí agus na téacsanna earráide faoi cén t-údarás a eisíodh an piar atá ag teip.

Rolladh nach dtugann an líonra chun talaimh

Le haghaidh athsholáthair phleanáilte, glac leis an dá ancaire ar feadh fuinneoige teoranta seachas aistriú in aon chéim amháin. Eisigh an CA nua agus a idirghabhálaithe, cuir an t-ancaire nua i mbeartán gach bailíochtóra in aice leis an seancheann, agus ní thosaigh ag eisiúint deimhnithe piar as go dtí sin. Bailíochtaíonn piaraí le seanfhéiniúlachtaí in aghaidh an tseanancaire; oibríonn cinn nua in aghaidh an ancaire nua.

Déanta san ord sin, tá gach céim inchúlaithe. Is é an teip atá á seachaint agat ná an t-aistriú comhuaineach, áit a dtagann cliant a chaill an nuashonrú beartáin ar gheata atá tar éis an seancheann a scairdeadh cheana, faigheann an chrobhaing láimhe bás, agus ní deir ceachtar loga cén taobh atá as dáta.

Scoir sa treo eile. Ath-eisigh gach féiniúlacht a chaithfidh maireachtáil, dearbhaigh go dtaispeánann gach ceann an slabhra nua, agus ansin bain an seanancaire de na beartáin. Tóg an eochair phríobháideach den tsean-CA as seirbhís, mar ciallaíonn eisitheoir is féidir leis síniú fós nach bhfuil an rolladh críochnaithe. Coinnigh na deimhnithe agus na taifid eisiúna le haghaidh iniúchta. Cuirtear eisitheoir caillte ar ais chun an mhuinín chéanna; éilíonn nochtadh féiniúlachtaí nua agus ní cheadaítear filleadh ar an seancheann.

Fíoraigh an toradh, ní liosta na gcomhad

Ní chruthaíonn comhad muiníne sa chomhadlann a bhfuiltear ag súil leis mórán. Féadfaidh an feidhmchlár cosán eile, formáid eile nó cóip i bpacáiste a athsholáthraíonn uasghrádú a léamh. Seiceáil iompar ag an dá cheann, ní go bhfuil comhad ann.

Dearbhaigh go n-éiríonn le nasc úr le féiniúlacht nua, ansin dearbhaigh go ndiúltaítear d'fhéiniúlacht a d'eisigh an CA scortha. Is é an dara tástáil sin an ceann a scipeálann daoine, agus an t-aon cheann a thaispeánann nach dtugann an t-údarás sean rochtain a thuilleadh. Nuair a bhíonn an t-imscarthar ag brath ar CRL nó OCSP, seiceáil go réitítear na pointí dáileacháin sna deimhnithe nua agus go bhfuil an freagróir inrochtana ag na piaraí a chuireann ceist air.

Críochnaigh le cliant nár nasc riamh: glan a phróifíl, nasc, agus léigh an slabhra a caithfeadh. Tuairisceoidh piar a atosaíonn seisiún i dtaisce go soilbhir gur éirigh leis an aistriú cé nár bhailíochtaigh sé aon rud.