Miért töri meg a CA-t a ca.key másolása minden VPN-kliensre
A kliens a CA nyilvános tanúsítványát ellenőrzi; soha nincs szüksége az aláíró kulcsra. A ca.key minden eszközre másolása a kibocsátás jogát annak adja, aki egyetlen példányt elvisz.
Valahol a telepítési útmutatóban egy teljes könyvtárat változatlanul átmásolnak minden laptopra, mert ez egyszerűbb volt, mint eldönteni, mely fájlok tartoznak oda. Az a könyvtár tartalmazza a ca.key fájlt, és abban a pillanatban, amikor egy második eszközre eljut, a tanúsító hatóság megszűnik hatóságnak lenni. Mostantól bármelyik birtokos olyan identitásokat bocsáthat ki, amelyekben a hálózat többi része megbízik.
Érdemes ezt a zavart egyszer kibogozni, mert a két fájl hasonlónak látszik, és ellentétes dolgokat tesz.
Ellenőrző anyag és aláíró anyag
A kliensnek a CA nyilvános tanúsítványára van szüksége ahhoz, hogy ellenőrizze: a másik fél által bemutatott tanúsítványt ez a hatóság írta alá. Ez ellenőrzési feladat, és egyáltalán nem igényel titkot. Egy másik fél tanúsítványának aláírása más feladat, amelyet egyszer az végez, aki a CA-t üzemelteti, azzal a privát kulccsal, amely soha nem hagyja el a védett tárolóját. E két feladat szétválasztása a teljes értelme annak, hogy két fájlt szállítunk.
Tehát a ca.crt a profilba tartozik, a ca.key pedig sehová a közelébe. A fájlnevek megállapodások, nem garanciák, ezért a típust meg kell vizsgálni, nem pedig a névből következtetni rá.
A köztes CA-val vagy online kibocsátó szolgáltatással működő architektúra nem kivétel ez alól. Ez a szokásos módja annak, hogy az aláírási képességet távol tartsuk a végpontoktól, miközben eszköztanúsítványokat bocsátunk ki nagy mennyiségben.
Mit kell a kliensnek a saját kulcsával bizonyítania
Minden eszköz a saját kulcspárját és a saját tanúsítványát kapja, amelyet a CA egyszer aláír. A kliens bemutatja ezt a tanúsítványt, és bizonyítja, hogy birtokolja a hozzá tartozó privát kulcsot, a szerver pedig eldönti, elfogadja-e. Ez az az identitás, amelyet laptop elvesztésekor visszavonnak.
Az ellentét lopás után a legfontosabb. Eszközönkénti identitásokkal egy kitett klienst visszavonással vagy a másik fél eltávolításával kiveszünk, a flotta többi része pedig tovább működik.
Egy kiszivárgott hatósági kulcsot nem lehet így kezelni. Minden tanúsítvány, amelyet valaha aláírt vagy aláírhatott volna, gyanússá válik, ezért a válasz a bizalom lecserélése, nem egyetlen visszavonás. Ez egy projekt, nem egy jegy.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Olvassuk el a fájlt, mielőtt bárhová másolnánk
Két parancs megmondja, milyen típusú objektum van a kezünkben, anélkül hogy bármilyen titkot kiírna. Az első a tanúsítvány tárgyát és CA-jelzőjét nevezi meg; a második érvényesít egy kulcsot, és jelenti a típusát. Futtassuk mindkettőt azon a csomagon, amelyet terjeszteni készülünk. Bármi, ami privát kulcsként érvényesül, nem tartozik egy kliens könyvtárába.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Ha a második parancs sikerül egy klienscsomagban lévő fájlon, álljunk meg, és tekintsük a csomagot kompromittáltnak. Az a kimenet, amely szerint egy kulcs érvényes, azt is mondja, hogy jelen van, márpedig a jelenlét maga a probléma.
Figyeljünk az ellenkező irányra is: egy kliensprofil jogszerűen tartalmazza az adott kliens saját privát kulcsát. Minden talált kulcs törlése megszakítja a kapcsolatot anélkül, hogy bármit javítana, ezért az objektumot az eltávolítás előtt azonosítani kell.
Egy már kiosztott kulcs kordában tartása
Ne feltételezzük, hogy a helyi példány törlése visszafordítja a kitettséget. Bárki, akinél a fájl volt, másolhatta, és a biztonságos feltevés az, hogy meg is tette. Kövessük az üzemeltető incidensfolyamatát, és cseréljük le a bizalmi horgonyt, új CA alatt újra kibocsátva az eszköztanúsítványokat.
Utána változtassunk a csomagoláson, amely a problémát okozta. Küldjünk könyvtárlistát a fájlok kifejezett engedélyezési listájával, tartsuk a CA kulcsát olyan gépen, amely soha nem csatlakozik a kliensflottához, és jegyezzük fel, melyik rendszer őrzi.
Ha a hatóságnak gyakran kell kibocsátania, helyezzük az aláírást egy szűk hatókörű és rövid érvényességű szolgáltatás vagy köztes hatóság mögé. Így egy jövőbeli hiba a kibocsátás egy részét tárja fel, nem a teljes telepítés bizalmi gyökerét.