Menene ke faruwa sa'ad da ka maye gurbin hukumar tabbatar da VPN

Maye gurbin hukumar tabbatar da VPN ba musanya fayil ba ne. A daidai lokacin da sabuwar CA ta sa hannu kan takardar tabbatarwa ta farko, kowane mai tantancewa da har yanzu yake dogaro da tsohuwar kawai dole ya yanke shawara, kuma rundunan da ba su taɓa samun sabon anka ba suna ci gaba da ƙin abokan da suka dace. Na ga ya lalace a duka alkiblobi: ƙofa ta koyi sabuwar CA amma abokan ciniki ba su koya ba, don haka sabbin haɗe-haɗe sun kasa, yayin da tunnels da suka riga suka tashi suka tsaya suna nan kuma suka sa katsewar ta yi kama da matsalar turawa. Ga abin da ke canzawa, a cikin tsarin da kurakurai ke bayyana.

Maye gurbi ɗaya, canje-canje biyu dabam

Hukumar tabbatarwa ita ce suna, maɓalli na jama'a da maɓallin sirri da ke sa hannu. Masu tantancewa ba sa dogara da «CA» a zatonsa. Suna dogara da wata takardar tabbatarwa ta musamman da ta riga ta kwana a ma'ajiyar amana, kuma suna karɓar mai bayarwa ne kawai idan sarkar sa hannu ta isa wannan kwafin da aka ajiye. Don haka maye gurbin CA yana canza abubuwa biyu da ke kasa dabam dabam: waɗanne anka ake karɓa, da waɗanne asalin abokai aka bayar a ƙarƙashinsu.

Yawancin shigarwar VPN suna tantancewa a duka alkiblobi. Abokin ciniki yana tabbatar da takardar ƙofa, ƙofar kuma tana tabbatar da ta abokin ciniki. Juyin da ke sabunta fakitin abokin ciniki kawai yana barin uwar garke ta ƙi kowane abokin ciniki da har yanzu ke gabatar da asalin tsohuwar CA, kuma akasin haka yana da yawa daidai. Fara lissafta wuraren tilastawa: ma'ajiyar amana na abokan ciniki, fayil ɗin ca na ƙofa, duk wata wakila da ke ƙarasa TLS a gabansa, da binciken da ke gwada ƙarshen wuri daga waje.

Abin da mai tantancewa ke dubawa, a tsari

Tantancewar hanya tana hawa daga takardar abokin tafiyar ta cikin kowane matsakaici har sai ta isa amintaccen anka. A kowane mataki tana tabbatar da sa hannu, tana duba cewa kowace takarda tana cikin lokacin ingancinta, kuma tana tabbatar cewa ƙa'idodi na asali da amfani da maɓalli suna ba mai bayarwa izinin sa hannu. Bayan haka ne kawai manhajar ke kallon takardar ganye: dole sunayen madadin batun su rufe sunan da aka buga, kuma amfanin maɓalli mai faɗaɗa dole ya ba da izinin tabbatar da uwar garke ko abokin ciniki.

Don sake wannan tafiya ba tare da yanar gizo ba, karkatar da -CAfile zuwa ainihin fakitin da za ka girka, ba zuwa ma'ajiyar tsarin ba. In ba haka ba kana gwada rundunar, ba canjin ba:

openssl verify -CAfile new-ca.crt gateway.crt
openssl verify -CAfile new-ca.crt -untrusted intermediate.crt client.crt
openssl x509 -in gateway.crt -noout -subject -issuer -dates
openssl s_client -connect gw.example.net:443 -CAfile new-ca.crt

Wannan umarni yana aiki ne kawai da mai sauraron TLS na fili kamar shafin gudanarwa na HTTPS na ƙofa; tashar sarrafa OpenVPN tana gaban TLS, don haka s_client ba zai iya duba musafaha na tunnel ba.

Ka'idodin gina hanya da ke bayan waɗannan kurakurai suna cikin RFC 5280 sashe na 6. Suna bayanin gazawar da in ba haka ba suke kama da na kiwon kai: matsakaicin da ya ƙare wanda ba wanda ya tuna, takardar da amfanin maɓallinta ya hana sa hannu, ko iyakar suna da ta ware rundunar da kake gwadawa.

Me ya sa tsohon tunnel ke ci gaba da aiki

TLS da OpenVPN duka suna riƙe zaman da aka kafa a raye bayan musafaha ya ƙare. Babu abin da ke sake tantance takardar abokin tafiyar a kowane fakiti, don haka abokin ciniki da ya haɗu kafin canjin yana ci gaba da wucewa da zirga-zirga har sai ya sake tattaunawa, ya sake haɗuwa, ko tunnel ya faɗi. Wannan gibin ne yasa maye gurbin CA zai iya yin kyau na awa ɗaya sannan ya kasa a mafi munin lokaci: kwamfutar tafi-da-gidanka ta farka daga barci, tsarin NAT ya ƙare, ƙofa ta sake farawa.

Ci gaba da zama yana ƙara jawo wannan ruɗi. Tikitin zama na TLS yana barin abokin ciniki ya dawo ba tare da sake aika takardu ba, kuma ci gaba yana tsallake tantancewar hanya domin musafahar farko ta riga ta yi ta. Don haka gwajin gaskiya shi ne cikakken musafaha a sabon tsari. Sake kunna abokin ciniki maimakon sake haɗa tunnel, kuma a kan bayanin gwaji ka yi la'akari da kashe tikiti domin hanyar ci gaba ba za ta iya ɓoye karyayyen sarka ba.

Ka raba shimfidar maɓallin tsaye daga wannan. tls-auth yana ƙara HMAC ga tashar sarrafa, tls-crypt yana ɓoye ta da tabbatar da ita, kuma babu ɗayansu da ke ɗauke da kayan takarda, don haka juya kowanne daga cikinsu wani canji ne dabam da irin gazawarsa. Shigarwar da suka haɗa biyun suna ƙarewa da abokin ciniki wanda maɓallinsa na tsaye yake lafiya, takardarsa ta tsufa, kuma saƙon kurakuran sa bai ambaci ko ɗaya ba.

Tarkon sake amfani da sunan batun

Yana da ban sha'awa a sake amfani da sunan bambance na magabaci domin babu abin da ke ƙasa zai buƙaci ya canza. Wannan yana riƙe layin mai bayarwa a tsaye a cikin fuskar, kuma yana lalata alamar guda ɗaya da kake buƙata. Ba za a iya bambanta takardu biyu masu batutuwa iri ɗaya da maɓallai daban ta suna ba, don haka fakitin da ke ɗauke da anka biyu yana ba mai tantancewa 'yan takara biyu ba tare da wata ƙa'idar zaɓi ba.

Sannan gina hanya na iya zaɓar kuskuren, ya ba da rahoton «an kasa samun takardar mai bayarwa na gida» alhali daidai anka yana nan, ko ya yi nasara a wata runduna ya kasa a wata da ke ɗauke da fakitin guda, domin tsarin 'yan takara ya bambanta. Idan dole a sake amfani da sunan, ka riƙe anka biyu a fayiloli dabam yayin miƙa, ka loda su a fili, sannan ka haɗa su ne kawai lokacin da kowane abokin tafiyar ya gabatar da sabon mai bayarwa. In ba haka ba ka ba maye gurbin wani suna na gama-gari dabam — ƙarin tsara ko kwanan wata ya isa — domin rajistoci da rubutun kurakurai su faɗi a ƙarƙashin wace hukuma aka bayar da abokin tafiyar da ke kasa.

Juyin da ba ya rushe hanyar sadarwa

Don maye gurbin da aka tsara, karɓi anka biyu na wani ɗan lokaci maimakon canzawa a mataki ɗaya. Bayar da sabuwar CA da matsakaicinta, sanya sabon anka a fakitin kowane mai tantancewa kusa da tsohon, sannan ka fara bayar da takardun abokai daga gare ta. Abokan da ke da tsofaffin asali suna tantancewa da tsohon anka; sababbi suna aiki da sabon.

Idan an yi a wannan tsari, kowane mataki yana iya juyawa. Gazawar da kake gujewa ita ce juyawa lokaci ɗaya, inda abokin ciniki da ya rasa sabuntawar fakitin ya haɗu da ƙofar da ta riga ta yi ritaya da tsohon anka, musafaha ya mutu, kuma babu rajista da ke faɗin wane gefe ya tsufa.

Yi ritaya a kishiyar alkibla. Sake bayar da kowace asalin da dole ya rayu, tabbatar kowanne yana gabatar da sabuwar sarka, sannan cire tsohon anka daga fakitin. Fitar da maɓallin sirri na tsohuwar CA daga aiki, domin mai bayarwa da har yanzu zai iya sa hannu yana nufin juyin bai ƙare ba. Ajiye takardu da bayanan bayarwa don bincike. Ɗanɓataccen mai bayarwa ana mayar da shi ga amana ɗaya; fallasa na buƙatar sabbin asali kuma babu komawa ga tsohon anka.

Tabbatar da sakamakon, ba jerin fayiloli ba

Fayil ɗin amana a cikin rumbun da ake tsammani yana tabbatar da kaɗan. Manhajar na iya karanta wata hanya, wani tsari, ko kwafi a cikin fakitin da haɓakawa ke maye gurbinsa. Duba ɗabi'a a ɓangarorin biyu, ba wanzuwar fayil ba.

Tabbatar sabuwar haɗa-haɗa da sabon asali ta yi nasara, sannan tabbatar an ƙi asalin da tsohuwar CA ta bayar. Wannan gwaji na biyu shi ne da mutane ke tsallakawa, kuma shi kaɗai ne ke nuna tsohuwar hukuma ba ta ba da damar shiga kuma. Inda shigarwar ta dogara da CRL ko OCSP, duba cewa wuraren rarraba a cikin sabbin takardu suna warwarewa kuma masu tambaya daga abokan tafiyar suna iya isa ga mai amsawa.

Kammala da abokin ciniki wanda bai taɓa haɗuwa ba: share yanayin bayaninsa, haɗa, ka karanta sarkar da aka tattauna. Abokin tafiyar da ke ci gaba da zama da aka adana zai ba da rahoton cewa ƙaura ta yi nasara alhali bai tantance kome ba.