Takardar shaidar VPN da aka sa hannu da kanta: abin da take nufi da abin da take dogaro da shi

Imani biyu ne ke yin mafi yawan lahani a nan: cewa takardar shaidar VPN da aka sa hannu da kanta tana nufin ba a rufa tunnel ɗin asiri ba, da kuma cewa shigar da duk abin da abokin ciniki na VPN ya nema yana shafar VPN ne kawai. Babu ɗayansu da ya tsira daga haɗuwa da ainihin turawa. Takardar shaidar da aka sa hannu da kanta tana bayyana dangantakar sa hannu, ba hukuncin tsaro ba, kuma iyakar dogaron da kake ƙarawa ya dogara da wace ma'ajiya ce ta sauka a ciki. Na ga wata tawagar taimako ta shigo da tushen mai bayarwa cikin na'urar Windows don ta shiru gargaɗi ɗaya, sannan ta shafe yini ɗaya tana bayani kan dalilin da ya sa mai bincike ya daina ƙorafi game da wata hanya marar alaƙa. Rabin biyu na wannan tambaya suna tare, don haka ɗauke su a matsayin ɗaya.

Takardar shaidar ba ma'ajiyar dogaro ba ce

Fayil ɗin da sabar ke gabatarwa yana ɗauke da maɓalli na jama'a, sunan jigo, sunan mai bayarwa, kwanakin inganci da ƙari. Sa hannu da kanta yana nufin jigo da mai bayarwa abu ɗaya ne kuma ana tabbatar da sa hannun da maɓallin takardar shaidar kanta. Babu wani abu a cikin wannan ma'anar da ke cewa haɗin yana da rauni, kuma babu wani abu da ke cewa abokin ciniki zai karɓe ta.

Karɓuwa tana zuwa daga wani wuri: fayil ɗin CA da kake nuna wa abokin ciniki, sawun yatsa da kake kwatanta da hannu, ko tushe da ya riga ya zauna a cikin ma'ajiyar da abokin ciniki ke karantawa. Turawa na iya kasancewa cikakke lafiya alhali takardar shaidarta za ta faɗi kowane gwajin jama'a. openssl verify a kan tarin tsarin zai ba da rahoton mai bayarwa da ba a sani ba, kuma wannan rahoton daidai ne ba aibi ba.

Zaɓin ca na OpenVPN shine mafi bayyanannen misali na dogaron da ya keɓe ga aikace-aikace. Wannan fayil ɗin yana ambaton ankaren da abokin ciniki zai karɓa, kuma yana iya riƙe CA mai zaman kanta ɗaya ko, a ƙaramin turawa, takardar shaidar sabar da aka sa hannu da kanta. Sigar 2.6 kuma tana karɓar --peer-fingerprint don ɗaure sawun yatsa na SHA-256 maimakon rarraba fayil ɗin CA. WireGuard ya fi nisa: ba shi da takaddun shaida kwata-kwata, sai maɓalli na jama'a mai tsayawa ga kowane abokin haɗi, don haka tambayar sa hannu da kanta ba ta shafe shi.

Inda ka shigar da dogaro shi ne ke ƙayyade wanda zai gādo shi

Saka takardar shaidar ɗaya a wurare uku sai ka sami radiyon fashewa uku daban-daban. Tarin da abokin ciniki na VPN kaɗai ke karantawa yana shafar wannan abokin ciniki. Tushe a cikin ma'ajiyar tsarin aiki yana shafar kowane shiri da ke tuntuɓar wannan ma'ajiyar. Mai bincike da ke da nasa bayanan dogaro zai iya watsi da duka biyun, wanda shi ne dalilin da gargaɗi zai iya tsira daga shigo da ya yi kama da ya yi aiki.

A Debian ko Ubuntu, zubar da fayil cikin /usr/local/share/ca-certificates/ da gudanar da update-ca-certificates suna canza tarin tsarin gaba ɗaya. A Windows, certutil -addstore -f Root yana rubutu cikin ma'ajiyar na'ura kuma yana buƙatar umarni mai ɗaukaka, yayin da ƙara -user yana nufin ma'ajiyar mai amfani na yanzu maimakon haka; su biyun ba sa musanya. Firefox yana riƙe nasa bayanan NSS, don haka shigo da matakin OS ba zai taɓa bayyana a can ba.

Iyaka tana da muhimmanci saboda abin da hukuma za ta iya yi. CA mai bayarwa na iya sa hannu ga sunayen da ba ta da dangantaka da su, don haka duk abin da ya dogara da wannan ma'ajiyar zai karɓi waɗannan sa hannu. Ganye ɗaya da aka ɗaure ba zai iya yin haka ba; yana tabbatar da ainihin asalin abokin haɗi ɗaya. Idan manufar ita ce a sa VPN ɗaya ya haɗu, CA da ya keɓe ga aikace-aikace ko ganye da aka ɗaure ya kai shi, yayin da tushen na dukan na'ura ya fi girma da yawa fiye da abin da alamar ke buƙata.

Har yanzu kana rufawa asiri ba tare da CA ta jama'a ba

Musayar hannu ta TLS tana samar da maɓallan zama ko takardar shaidar abokin haɗi ta haɗa zuwa wani abin da ka riga ka dogara da shi ko a'a. Sa hannu da kanta ba ya nufin rubutu bayyananne, kuma ba ya nufin ana iya karanta zirga-zirgar a cikin jirgi. Abin da yake nufi shi ne abokin ciniki ba shi da wani dalili na farko na yin imani cewa maɓallin na sabar da ya nema ne.

A cikin wannan gibin ne ainihin hare-hare ke zaune. Abokin ciniki da aka tsara ya karɓi kowace takarda, ko ta hanyar saitin tabbaci da aka kashe ko ta maɓallin dogara-duk-da-haka da aka danna sau ɗaya aka manta, zai rufa da farin ciki ga duk wanda ya amsa. Tsangwama na faruwa a matakin tabbatar da asali, kafin bayanan aikace-aikace su motsa. Rufewa ba tare da binciken asali ba yana hana mai kallo marar aiki shiga kuma ba ya yin wani abu da yawa.

Dogaro ga mai bayarwa ba ya tsallake binciken suna

Tabbatar da sarkar, daidaita suna da manufar takarda shaidar shawarwari ne daban-daban. Sarka na iya inganci alhali sunan ba daidai ba, kuma suna na iya daidaita alhali an bayar da takardar don wata rawar. RFC 5280 yana bayyana filayen da ke ɗauke da waɗannan iyakoki, kuma yadda abokin ciniki ke tilasta su sosai al'amari ne na kowace aikace-aikace.

OpenVPN yana sa rabuwar ta bayyana. verify-x509-name yana ɗaure jigon da ake tsammani ta hanyar daidaiton name, name-prefix ko subject. remote-cert-tls server yana buƙatar takardar shaidar abokin haɗi ta kasance mai amfani a matsayin takardar sabar, wanda ke ƙin takardar abokin ciniki kaɗai ko da an dogara da mai bayarwa. Ba a maye gurbin ko ɗaya daga cikin saitin da aika fayil ɗin CA.

Duba takardar shaidar kafin ka yanke shawara:

• openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName yana nuna wanda ya bayar da ita, ga waɗanne sunaye kuma har zuwa yaushe.
• openssl verify -CAfile ca.crt server.crt yana duba ko sarkar da kake shirin aikawa tana tabbatar da ganyen da gaske.
• openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -CAfile ca.crt -verify_return_error yana aiki ga ƙarshen wuraren TLS kamar tashar yanar gizo; ka'idar OpenVPN a kan 1194 ba ta zama ruwan TLS tsantsa ba, don haka wannan gwajin ba ya aiki a can.

Takardar shaidar da kwanan wata ta ƙare, babu subjectAltName ga sunan da kake haɗawa da shi, ko rashin amfani da serverAuth tana faɗi ko da yaya aka shigar da anka a hankali.

Bincike biyar kafin ka karɓi ɗaya

Kwatanta sawun yatsa ta hanyar da ba ita ce haɗin da kake ƙoƙarin gyara ba: na'ura, mai shigarwa da ka riga ka mallaka, fayil ɗin tsari da aka sa hannu. openssl x509 -in server.crt -noout -fingerprint -sha256 a kan sabar da wannan ƙimar a cikin log ɗin abokin ciniki sun isa ka san kana kallon abu ɗaya.

Bayan haka, yanke shawara kan abin da kake shigarwa: ganye ɗaya, ko hukuma da za ta iya ƙirƙirar ƙari. Sannan yanke shawara inda zai tafi, ka ambaci aikace-aikacen da ke karanta wannan ma'ajiyar. Rubuta hanyar cirewa yayin da kake tuna ta, domin dogara-ka-ci-gaba shine yadda shigo da na wucin gadi ke zama na dindindin.

A ƙarshe, tsara canjin. Dole a sabunta takardar shaidar ko sawun yatsa da aka ɗaure ta hanyar amintaccen da ke ɗaya lokacin da takardar ta juya, kuma CA mai zaman kanta tana da nata tsarin rayuwar bayarwa da sokewa. Idan maɓallin sirri ya tsuro, sake dogara ga kwafin takardar ɗaya ba ya gyara komai; dole a maye gurbin asalin.

Idan gargaɗi ya tsira daga duk binciken biyar, tambayar da za ta amfani ba ita ce wace maɓalli ke shiru da shi ba, amma wace ma'ajiya abokin ciniki ke karantawa a zahiri da kuma inda wannan tushen ya fito. Amsa wannan, sai shigo da kake shirin yi ya zama shawara maimakon amsa kai.