Kafin ka canza shi: maɓallin SSH da takardar shaidar OpenVPN

Shigo da fayil ɗin yana gazawa da kuskuren takardar shaida, don haka matakin da ya fi fitowa fili yana kama da canji. Wannan tunani yana kai mutane hanya da inda tsawo na fayil ɗin ke canzawa amma ƙin karɓa ya tsaya daidai. Layin ssh-ed25519 a cikin authorized_keys da takardar shaidar abokin ciniki ta OpenVPN abubuwa ne na shaida daban-daban, da masu bayarwa daban-daban, rikodin kalmomi daban-daban da hanyoyin sokewa daban-daban. Idan ka bi waɗannan gwaje-gwaje a jeri, cikin minti ɗaya za ka san ko canji zai iya taimakawa ko kaɗan.

Wane abu kake da shi a haƙiƙa?

Akwai abubuwa biyar da mutane ke kira maɓalli, kuma ɗaya ne kawai daga cikinsu abin da tsarin TLS ke so. Maɓallin jama’a na SSH layi ɗaya ne na rubutu tare da prefix na nau’i da kayan base64. Takardar shaidar OpenSSH ita ce wannan maɓallin tare da sa hannu, principals da zaɓuɓɓuka, wanda ssh-keygen ke samarwa yana aiki a matsayin ƙaramin CA nasa. Takardar shaidar X.509 wani tsari ne daban, wanda ke ɗauke da batu, taga inganci, ƙari da sa hannu daga hukumar bayar da takardar shaida. Maɓallin sirri shine rabin sirri, kuma kunshin da aka bayar yawanci takardar shaida ce tare da sarkarta tare da maɓallin sirri a cikin fayil ɗaya.

Gwajin farko yana kashe umarni ɗaya. Nuna openssl ga fayil ɗin ka nemi ya bincika tsarin takardar shaidar:

openssl x509 -in client.crt -noout -subject -issuer

Idan hakan ya gaza da kuskuren unable-to-load ko PEM, fayil ɗin ba takardar shaidar X.509 ba ce duk yadda ka saka masa suna. Canza suna baya rubuta ASN.1 da ke ciki, haka kuma naɗe layin maɓallin jama’a cikin rubutun kai na PEM ba ya yin hakan.

Shin tsarin yana neman takardar shaida kwata-kwata?

Takardun shaidar abokin ciniki ɗaya ne daga hanyoyin tabbatarwa da yawa, kuma yawancin tsarin TLS masu aiki ba sa neman ɗaya har abada. Uwar garke na iya tabbatar da masu amfani ta hanyar plugin, sunan mai amfani da kalmar sirri, ko token backend, yayin da yake buƙatar abokin ciniki ya tabbatar da asalin uwar garken. Idan tsarin ba shi da umarnin takardar shaidar abokin ciniki, ba za a taɓa neman takardar shaida ba, kuma babu canjin da zai sa ƙofar ta nemi ɗaya.

Tsofaffin tsare-tsare na maɓallin tsaye wani yanayi ne na uku. Sun riga sun wuce musayar hannu ta TLS kuma suna tsammanin fayil ɗin sirri da aka raba tun farko, wanda shine dalilin da ya sa liƙa maɓallin jama’a a wannan filin ma ba zai iya aiki ba. Karanta abin da tsarin ke nema da gaske kafin ka yanke shawarar cewa shaidar ba daidai ba ce.

Abin da sake rikodin kalmomi zai iya yi da abin da ba zai iya ba

Maɓallan sirri suna da ingantattun kwano na dabam. Ana iya rubuta maɓallin RSA ko EC ɗaya a matsayin PEM na gargajiya, a matsayin PKCS#8, ko cikin kunshin PKCS#12, kuma kayan aiki suna canza su cikin farin ciki. Maɓallan jama’a suna da irin wannan labari: ssh-keygen na iya fitar da siffar RFC 4716 ta maɓallin SSH, kuma OpenSSH yana fahimtar nasa tsarin takardar shaida. Duk wannan wakilci ne, kuma wakilci ba aminci ba ne.

Abin da canji ba zai iya ba shine ƙirƙirar sa hannu daga hukumar bayar da takardar shaida da ba ta taɓa ganin maɓallinka ba. Takardar shaida tabbaci ne daga mai bayarwa cewa wani maɓallin jama’a na wani batu ne don wani dalili. Sake rikodin kalmomi yana kiyaye bayt na maɓallin kuma yana barin tabbacin babu shi, don haka ƙofar ba ta da abin da za ta tabbatar da shi a kan ajiyar amincewarta.

Wannan shine matakin da yawancin yunƙuri ke gazawa a shiru: fayil ɗin yanzu yana ƙarewa da .crt, abokin ciniki yana karanta shi ba tare da korafi ba, kuma musayar hannu har yanzu tana tsayawa saboda abokin gaba ba zai iya gina sarka zuwa mai bayarwa abin dogaro ba.

Inda hukumar bayar da takardar shaida ta shiga hoton

Rajista ta gaske tana farawa da maɓallin maɓalli da kake sarrafawa da buƙatar sa hannu na takardar shaida wanda ke ɗauke da batun da ma’aikacin ke tsammani. Ma’aikacin yana tabbatar da haƙƙi, yana sa hannu a buƙatar da maɓallin CA, kuma yana mayar da takardar shaidar da aka bayar tare da duk wata sarkar tsakiya da abokin ciniki zai gabatar. Sannan abokin ciniki yana buƙatar takardar shaidar CA da ta sa hannu a kanta, domin ita ce ke ba shi damar tabbatar da cewa uwar garken da yake magana da ita na wannan turawar ce.

Wannan fayil ɗin ƙarshe ana mantawa da shi cikin sauƙi kuma ba za a iya maye gurbinsa ba. Maɓallin sa hannu na CA da kansa ba ya cikin tsarin abokin ciniki, kuma babu adadin canji na gida da zai samar da sarkar da ya kamata ka karɓa.

Abin da sake amfani da maɓallin SSH ke kashe ka

A ce canji ya samar da wani abu mai karɓuwa. Sake amfani da maɓallin maɓalli ɗaya don shiga SSH da tabbatarwa VPN har yanzu yana haɗa shawarwarin tsaro biyu masu zaman kansu. Cire layi daga authorized_keys yana dakatar da shiga SSH, kuma ba ya yin komai ga takardar shaidar da CA na VPN ya riga ya bayar don wannan maɓallin jama’a. Ana soke gefen VPN ta hanyar nata, wato jerin soke takardun shaida ko rikodin rajista na ma’aikaci.

Don haka jerin dubawa yana ƙarewa da sharadi na tsayawa maimakon dabara. Idan openssl ba zai bincika fayil ɗin a matsayin takardar shaida ba, daina canzawa ka bayyana abin da kake da shi: maɓallin SSH, takardar shaidar SSH, takardar shaidar X.509, maɓallin sirri ko kunshi. Idan tsarin baya neman takardar shaidar abokin ciniki, tsaya ka tambaya wace hanyar tabbatarwa uwar garken ke tsammani. Sai dai idan amsoshin biyu sun nuna X.509 ne rajista ta zama mataki na gaba, kuma wannan tattaunawar tana tafiya da sauri sosai idan sunan da ya dace yana cikin jimla ta farko.