VPN માટે સ્વ-સહી કરેલ વિરુદ્ધ જાહેર CA: ખરેખર શું બદલાય છે

તમે VPN સેટઅપના પ્રમાણપત્ર પૃષ્ઠ પર પહોંચો છો, મફત સ્વ-સહી કરેલ વિકલ્પ પેઇડ જાહેર CAની બાજુમાં જુઓ છો, અને પ્રશ્ન સુરક્ષા પસંદગી જેવો લાગે છે. તે ખરેખર પ્રેક્ષકોની પસંદગી છે. બંને વિકલ્પો સમાન પ્રાથમિક ઘટકોથી ટ્યુનલને એન્ક્રિપ્ટ કરે છે, અને ખાનગી કી લીક થાય તો બંને નકામા બની જાય છે. તેમને અલગ પાડે છે તે એ કે સર્વરની ઓળખ વિશે દાવો કોણ કરે છે અને તે દાવો ચકાસવાની સ્થિતિમાં કોણ છે.

પ્રમાણપત્ર બે કામ કરે છે જે ભેળસેળ થાય છે

પ્રમાણપત્ર જાહેર કીને નામ સાથે જોડે છે, અને કી એન્ક્રિપ્શન અને હસ્તાક્ષરનું કામ કરે છે. પ્રમાણપત્ર પરની સહી એ અલગ નિવેદન છે: કોઈ સત્તાધિકારીએ ચકાસ્યું છે કે નામ આ કી ધારકનું છે. સ્વ-સહી કરેલું પ્રમાણપત્ર પોતાના વિશે જ તે નિવેદન કરે છે, જે કોઈ તૃતીય પક્ષનો દાવો જ નથી.

જાહેર વેબસાઇટ્સને તૃતીય પક્ષનું સંસ્કરણ જોઈએ, કારણ કે મુલાકાતીઓ કોઈ પૂર્વ સંબંધ વિના આવે છે અને બ્રાઉઝરના ટ્રસ્ટ સ્ટોર પર આધાર રાખે છે. VPN ક્લાયન્ટ અજાણ્યો નથી. તમે તેને CA પ્રમાણપત્ર આપો છો, અથવા તે જે પ્રોફાઇલ ઇન્સ્ટોલ કરે છે તેની અંદર સર્વર પ્રમાણપત્ર પિન કરો છો, તેથી ચકાસણી બરાબર તમે પસંદ કરેલી સત્તાધિકારી સામે થાય છે. તે ચકાસણીનો અર્થ થાય તે માટે કોઈ વ્યાપારી CA સામેલ હોવાની જરૂર નથી.

પરિણામી સત્રની શક્તિ કીના કદ અને સાઇફર સ્યુટમાંથી આવે છે, સહી કરનારમાંથી નહીં. તેથી જ સ્વ-સહી કરેલા પ્રમાણપત્રને "ઓછું એન્ક્રિપ્ટેડ" કહેવું ખાલી ખોટું છે; તે ઓછું વ્યાપક રીતે જામીનગીરી ધરાવે છે, જે અલગ ગુણધર્મ છે.

જાહેર CA તેની ફી ક્યાં કમાય છે

સૌથી સ્પષ્ટ કેસ એ વ્યવસ્થાપન પૃષ્ઠ છે. જો સહકર્મીઓ, કોન્ટ્રાક્ટરો અથવા તૈયાર પ્રોફાઇલ વિનાની કોઈપણ વ્યક્તિએ બ્રાઉઝર ચેતવણી વિના VPN સર્વરનું વેબ ઇન્ટરફેસ ખોલવું પડે, તો જાહેર રીતે વિશ્વસનીય પ્રમાણપત્ર તે ઘર્ષણ દૂર કરે છે. બ્રાઉઝર પહેલેથી જ સહી કરનાર પર ભરોસો કરે છે, તેથી આયાત કરવા જેવું કંઈ નથી અને સમજાવવા જેવું પણ કંઈ નથી.

તે સુવિધાના ખર્ચા છે જે ખરીદતા પહેલા નામ આપવા યોગ્ય છે. નવીકરણ સ્વયંસંચાલિત થવું જોઈએ નહીં તો સાઇટ સમયપત્રક મુજબ તૂટી પડે, જાહેર પ્રમાણપત્રો પ્રમાણપત્ર પારદર્શિતા લોગમાં હોસ્ટનામ ખુલ્લું કરે છે, અને ઇશ્યૂ દર મર્યાદા વધુ પડતી ઉત્સાહથી ફરી પ્રયાસ કરતી સ્ક્રિપ્ટને સજા કરે છે. તેમાંથી કંઈ પણ જાહેર CA ટાળવાનું કારણ નથી, પરંતુ તે ઓપરેશનલ કામ છે જે ખાનગી CA બીજે સ્થાને ખસેડે છે.

જાહેર પ્રમાણપત્ર જે કરતું નથી તે છે તમારા વપરાશકર્તાઓને પ્રમાણિત કરવા. ક્લાયન્ટ ઓળખ એ અલગ નિર્ણય છે, જે ક્લાયન્ટ પ્રમાણપત્રો, પાસવર્ડ અથવા બીજા પરિબળથી લેવાય છે, અને સર્વર પર સહી કરતું CA એ વિશે કંઈ કહેતું નથી કે તેનાથી કોણ કનેક્ટ થઈ શકે.

ખાનગી CA VPNમાં ક્યાં ફિટ થાય છે

જાણીતા ક્લાયન્ટ સમૂહ ધરાવતા ખાનગી VPN માટે, તમારું પોતાનું CA ચલાવવું પરંપરાગત પસંદગી છે. તમે એક વાર CA બનાવો છો, ક્લાયન્ટ્સ જે નામ વાપરશે તે નામ સાથે સર્વર પ્રમાણપત્ર પર સહી કરો છો, અને દરેક પ્રોફાઇલની અંદર CA પ્રમાણપત્ર વિતરિત કરો છો. પછી દરેક ક્લાયન્ટ તમારી સત્તાધિકારી સામે સર્વર ચકાસે છે, અને કોઈ બહારનો પક્ષ હોસ્ટનામ જાણતો નથી.

ખર્ચા વાસ્તવિક છે પણ મર્યાદિત. જ્યારે કોઈ વ્યવસ્થાપન પૃષ્ઠ સીધું ખોલશે ત્યારે બ્રાઉઝર ચેતવણી આપશે, કારણ કે બ્રાઉઝર પાસે તમારા CA પર ભરોસો કરવાનું કોઈ કારણ નથી. પ્રોફાઇલ વિતરણ ઓનબોર્ડિંગનો ભાગ બની જાય છે, અને CA ફેરવવાનો અર્થ દરેક ક્લાયન્ટને સ્પર્શ કરવો છે. દસ કે પચાસ જાણીતા વપરાશકર્તાઓની સેવા માટે તે સ્વીકાર્ય કિંમતો છે અને હજારો ધરાવતા જાહેર એન્ડપોઇન્ટ માટે પીડાદાયક.

એક શરત આખી ગોઠવણને માન્ય બનાવે છે: ચકાસણી થવી જ જોઈએ. પ્રમાણપત્ર ભૂલોને અવગણવા માટે ગોઠવાયેલ ક્લાયન્ટ કોઈપણ પ્રમાણપત્ર રજૂ કરતા કોઈપણ સર્વરને સ્વીકારે છે, તેથી એન્ક્રિપ્શન રહે છે જ્યારે ઓળખની બાંયધરી અદૃશ્ય થાય છે. તે સેટિંગ જ મોટાભાગની "સ્વ-સહી કરેલું અસુરક્ષિત છે" વાર્તાઓમાં સાચી નબળાઈ છે.

CAની ખાનગી કી નક્કી કરે છે કે પછી તમે શું કરી શકો

આશ્ચર્ય સામાન્ય રીતે મહિનાઓ પછી આવે છે, જ્યારે તમે ઉપકરણ ઉમેરવા માંગો છો. ક્લાયન્ટ પ્રમાણપત્ર બહાર પાડવા માટે CAની ખાનગી કી જરૂરી છે, અને રદ કરવાની સૂચિ બનાવવા માટે પણ. જો તમને એવું સર્વર વારસામાં મળ્યું હોય જેની પાસે પ્રમાણપત્ર અને કી ફાઇલો છે પણ CA કી નથી, તો તમે કંઈ નવું સહી કરી શકતા નથી. તમારા વિકલ્પો PKI ફરીથી બનાવીને દરેક ક્લાયન્ટને નવું CA પ્રમાણપત્ર આપવાનો, અથવા પાસવર્ડ પ્રમાણીકરણ પર જવાનો છે, જે અલગ સુરક્ષા મોડેલ છે અને ગુમાવેલું પાછું લાવતું નથી.

બે નાના જાળ એ જ પ્રદેશમાં રહે છે. easy-rsa સ્ક્રિપ્ટો ધારે છે કે તમે એ ડિરેક્ટરીમાં ઊભા છો જે તેમને ધરાવે છે, તેથી ગુમ થયેલ ફાઇલની ભૂલ સામાન્ય રીતે ખોટું સ્થાન દર્શાવે છે, બગડેલી ઇન્સ્ટોલેશન નહીં. અને ફક્ત પ્રમાણપત્રો પર આધારિત ડિઝાઇન સંપૂર્ણપણે કાયદેસર છે: તમે પૂર્વ-શેર કરેલી કી વિના ક્લાયન્ટ પ્રમાણપત્રોની માંગ કરી શકો છો, જો દરેક ક્લાયન્ટ પાસે એક હોય અને સર્વર સાંકળ ચકાસે.

આખી ટીમ માટે એક શેર કરેલ ક્લાયન્ટ પ્રમાણપત્રને બદલે દરેક ઉપકરણ માટે એક પ્રમાણપત્ર બહાર પાડો. પછી ખોવાયેલ લેપટોપ તમને બધા માટે ફરીથી ઇશ્યૂ કરવાને બદલે એક જ રદ કરવાનો ખર્ચ કરાવે છે.

તમે શું વારસામાં મેળવ્યું તે તપાસો

કોઈપણ ફેરફારની યોજના કરતા પહેલા, તમારી પાસે પહેલેથી જ રહેલું પ્રમાણપત્ર વાંચો:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

જો ઇશ્યૂ કરનાર વિષય સમાન હોય, તો પ્રમાણપત્ર સ્વ-સહી કરેલું છે, જે ડિઝાઇન પસંદગી છે, ખામી નહીં. તારીખો તમને કહે છે કે નવીકરણ ક્યારે કોઈની સમસ્યા બનશે, અને તમે મોકલવાનું વિચારો છો તે CA સામેની સફળ ચકાસણી પુષ્ટિ કરે છે કે સાંકળ કોઈ પણ ક્લાયન્ટ પ્રયાસ કરે તે પહેલાં કામ કરે છે.

પછી પ્રેક્ષકો અને વિતરણ પ્રમાણે પસંદ કરો: જ્યારે અજાણ્યા બ્રાઉઝરોએ વ્યવસ્થાપન પૃષ્ઠ પર ભરોસો કરવો પડે ત્યારે જાહેર CA, જ્યારે દરેક ક્લાયન્ટને તમે નિયંત્રિત કરો તેવી પ્રોફાઇલ મળે ત્યારે ખાનગી CA. બંનેમાંથી કોઈ જવાબ બીજા કરતાં વધુ એન્ક્રિપ્ટેડ નથી.