Samopotpisani klijentski certifikat? VPN server ga ipak odbija

Operator šalje adresu i korisničko ime, a klijent traži CA datoteku, certifikat i ključ. Generisanje tih troje lokalno izgleda kao očigledan sljedeći korak. Time nastaje certifikat u koji vjeruje samo vaša mašina. Povjerenje servera usidreno je u CA koju ne kontrolišete, pa rukovanje završava prije nego što počne.

Povjerenje živi na serveru, ne u vašem profilu

Autentifikacija certifikatom je poređenje. Klijent predstavlja certifikat; pristupnik provjerava da li ga je potpisala neka od CA u njegovoj konfiguraciji.

Vaš profil navodi CA datoteku koju klijent treba koristiti za provjeru servera. On ne može navesti CA koju server treba koristiti da provjeri vas. Ta polovina konfiguracije nije vaša.

Samostalno napravljen certifikat pada na ovom poređenju čak i kada je tehnički besprijekoran. Ima važeći potpis, subjekt i datume, ali izdavalac je CA za koju pristupnik nikada nije čuo. Greška se pojavljuje tokom rukovanja, nakon što je server već zatražio certifikat. Ništa u klijentskom profilu ne može promijeniti odgovor.

Zašto samopotpisani certifikat ne može poslužiti kao zamjena

Samopotpisani certifikat potpisan je vlastitim ključem. Potpis se provjerava prema istoj datoteci, što ga čini samousklađenim i beskorisnim kao vjerodajnica za tuđi pristupnik.

Pristupnik ne pita je li certifikat interno usklađen. Pita je li ga potpisao pouzdan izdavalac.

Zato su poruke o greškama zbunjujuće. Klijent može prijaviti neuspjeh provjere koji zvuči kao problem servera, dok server bilježi nepoznatog izdavaoca. Oba opisuju istu neusklađenost sa suprotnih strana.

Putanja preko CSR-a čuva vaš privatni ključ

Većinu posla i dalje možete obaviti lokalno. Generišite par ključeva, napravite zahtjev za potpisivanje certifikata oko javne polovine i pošaljite taj zahtjev operatoru. Samo zahtjev napušta vašu mašinu. Privatna polovina ostaje tamo gdje ste je napravili.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Operator potpisuje zahtjev svojom CA i vraća certifikat. Vaš privatni ključ nikada nije putovao, a rezultat je u lancu do sidra kojem pristupnik vjeruje.

Upravljane usluge često preskaču CSR i izdaju cijeli paket. To je razumna razmjena kada isti provajder već završava tunel i drži CA. Čuvanje ključa ne poboljšava se time što ga zadržavate, jer provajder može iskovati novi u svakom trenutku.

Paketi se uvoze, ne instaliraju

Prodajni paketi sa sigurnosno zvučnim imenima često su OpenVPN profili. Sadrže konfiguraciju i ponekad certifikate i ne instaliraju ništa. Uvezite datoteku u klijent koji govori protokol i veza je konfigurisana.

Pravilo rukovanja proizlazi iz sadržaja. Ako profil ugrađuje privatni ključ, to je vjerodajnica i zaslužuje istu pažnju kao lozinka: bez e-pošte, bez repozitorija, bez zajedničke mape za preuzimanje. Kada operator isporuči ca.crt, client.crt i client.key zasebno, čuvajte ih zajedno s restriktivnim dozvolama i usmjerite profil na njih.

Dodajte provjere koje je operator možda preskočio

Profil koji generiše ruter ponekad nema provjeru druge strane. remote-cert-tls server zahtijeva da certifikat druge strane nosi namjenu autentifikacije servera, tako da se klijentski certifikat ne može reproducirati kao server. Ta jedna linija je mala izmjena s jasnim obrazloženjem.

verify-x509-name ide dalje kada operator može navesti očekivani subjekt ili SAN. Oba su mala dopunjavanja profila i oba su odbranjiva. Pregledajte šta ste dobili prije nego što to uvezete.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Postavke provjere nisu popravka pokidanog lanca. Ako je izdavalac pogrešan, odgovor je certifikat od prave CA, a ne zastavica koja isključuje provjeru. Isključivanje provjere pretvara neuspjeh autentifikacije u neotkriveni.

Tražite jedan paket: certifikat tijela u PEM formatu, klijentski certifikat koji je to tijelo potpisalo, ključ koji ste generisali ili koji je stigao kanalom kojem vjerujete, i tačno ime servera koje certifikat treba predstaviti. Zabilježite datum isteka u istoj poruci, jer istekao certifikat mjesecima kasnije izgleda kao mrežni kvar.