OpenVPN-ի պրոֆիլն ունի վկայագրերի երեք բլոկ. ո՞րն է գաղտնի

Դուք բացում եք .ovpn ֆայլը՝ մեկ տող փոխելու համար, և գտնում եք base64-ի երեք բլոկ, որոնք բոլորը նման են հավատարմագրերի։ Մեկը անվտանգ է հրապարակելու համար, մյուսը նույնքան զգայուն է, որքան գաղտնաբառը, իսկ երրորդը հանրային բանալի է, որն իմաստ չունի, քանի դեռ ինչ-որ այլ բան չի ստորագրվել նրա զույգով։ Մարդիկ ամբողջ ֆայլը տեղադրում են աջակցության թեմայում, որովհետև բլոկները փոխարինելի են թվում, և հենց այդպես է հաճախորդի բանալին հայտնվում հանրային արխիվում։ Թե որ բլոկն ինչ է անում, պարզելը բացատրում է այս պրոֆիլների շուրջ եղած շփոթության մեծ մասը և նաև ասում է, թե որ ձախողումներն եք դուք պետք շտկել։

Մեկ ֆայլ, երեք բլոկ, տարբեր աշխատանքներ

Տիպիկ պրոֆիլը BEGIN և END նշիչների միջև տեղադրում է ca բլոկ, cert բլոկ և key բլոկ, կամ մատնանշում է նույն երեքին որպես առանձին ֆայլեր։ Որոշ պրոֆիլներ ավելացնում են չորրորդ բլոկ tls-auth կամ tls-crypt բանալու համար, որը ընդհանուր գաղտնիք է, ոչ վկայագիր։ Հաճախորդը կարդում է յուրաքանչյուր բլոկ այն հրահանգով, որը նրան անվանում է, ուստի պիտակներն ավելի կարևոր են, քան հայտնվելու հերթականությունը։

Հավաքված պրոֆիլը զգայուն համարեք, քանի դեռ իսկապես չեք նայել ներսը։ Հանրային վկայագիրը և մասնավոր բանալին կարող են նույն ֆայլում լինել մի քանի տող հեռավորության վրա, և վերնագիրն ընդգրկող էկրանի պատկերը կարող է պարունակել երկուսն էլ։ Տեսանելի base64-ը ձեռքով ծածկելը նույնպես հուսալի չէ, որովհետև մասնակի բլոկն էլ է արտահոսում վկայագրի այն մետատվյալները, որոնք անվանում են ձեր տեղակայումը։ Երեք հրահանգները առանց արժեքների պատճենելը սովորաբար բավական է օգտակար հարց տալու համար։

Բլոկների շուրջ եղած հրահանգները որոշում են, թե ինչպես դրանք օգտագործվեն։ Փոխեք ca-ն և հաճախորդը վստահում է այլ մարմնի. փոխեք cert-ը՝ չփոխելով key-ը, և ձեռքսեղմումը ձախողվում է անհամապատասխանությամբ, որը վստահության հետ կապ չունի։

CA բլոկը հանրային է, CA բանալին՝ երբեք

Վկայագրային մարմինը ստորագրում է վկայագրեր, որոնք հանրային բանալին կապում են ինքնության հետ, և նրա սեփական վկայագիրն այն խարիսխն է, որով հաճախորդը որոշում է՝ շղթան վստահելի է թե ոչ։ Այդ վկայագիրը հանրային է ըստ նախագծման. այն յուրաքանչյուր պրոֆիլի ներսում ուղարկելը նորմալ է, և հենց դրա համար ինքնաստորագրված տեղակայումը կարող է աշխատել առանց առևտրային մարմնի։

Այն, ինչ երբեք չպետք է հայտնվի հաճախորդի պրոֆիլում, մարմնի մասնավոր ստորագրման բանալին է։ Հաճախորդին այն պետք չէ որևէ ստուգման համար, և դրա առկայությունը նշանակում է, որ պրոֆիլն ունեցողը կարող է նոր ինքնություններ ստեղծել ամբողջ տեղակայման համար։

Մարմնի վստահելը նույնպես ավելի նեղ է, քան հնչում է։ Հաճախորդը, որ ընդունում է CA-ի ստորագրած ցանկացած վկայագիր, դեռ կընդունի նույն CA-ում այլ ծառայության համար թողարկված վկայագիր։ Այն տարբերակները, որոնք ամրագրում են սերվերի սպասվող դերն ու անունը, փակում են այդ բացը, և TLS տարբերակների տեղեկատուն թվարկում է այն ստուգման հրահանգները, որոնք դա անում են։

Սերվերի և հաճախորդի վկայագրերը ուղղված են հակառակ ուղղություններով

Սերվերի վկայագիրն այն է, ինչ հաճախորդը ստուգում է՝ համոզվելու, որ հասել է ճիշտ վերջնակետին։ Ձեր հաճախորդի վկայագիրը գնում է հակառակ ուղղությամբ. սերվերն այն օգտագործում է որոշելու, որ այս սարքը կամ օգտվողն իր գրանցածներից է։ Նույն ձևաչափը, վստահության հակառակ ուղղությունը։

Հասցեն ինքնություն չէ։ Ճիշտ IP-ին հասնելը ոչինչ չի ապացուցում այն մասին, թե ով պատասխանեց, դրա համար էլ հոսթի անվան կամ վկայագրի անվան ստուգումը դեռ մնում է պրոֆիլում։ Հաշվի գաղտնաբառը նույնպես լուռ չի փոխարինում պահանջվող հաճախորդի վկայագիրը, որովհետև երկուսը ստուգվում են տարբեր փուլերում, և տեղակայումը կարող է պահանջել երկուսն էլ։

Հաճախորդի մասնավոր բանալին այն մասն է, որը պետք է մնա մասնավոր։ Եթե այն կարող էր բացահայտվել, ձեր նոթբուքից ֆայլը ջնջելը ոչինչ չի փոխում սերվերում, որը կշարունակի ընդունել համապատասխան վկայագիրը, քանի դեռ օպերատորը չի չեղարկել այն։ Օպերատորից այդ ինքնությունը փոխարինել կամ չեղարկել խնդրելը միակ լուծումն է, որը ճամփորդում է ձեզ հետ։

Երկու հուշում, որոնք նույնական են թվում և այդպիսին չեն

Գաղտնագրված ձևով պահված բանալին պահանջում է գաղտնաբառ-արտահայտություն, մինչև հաճախորդը կկարողանա օգտագործել այն։ VPN ծառայությունը կարող է առանձին հարցնել հաշվի գաղտնաբառը, և երկու հուշումները կարող են հայտնվել վայրկյանների տարբերությամբ՝ գրեթե նույն ձևակերպմամբ։ Արտահայտությունը պաշտպանում է ձեր սկավառակի ֆայլը. գաղտնաբառը հաշիվն ապացուցում է սերվերին։ Դրանք շփոթելը մարդկանց ուղարկում է գաղտնաբառի վերականգնումների, որոնք որևէ կերպ չեն կարող օգնել։

Կարդացեք հուշումը, նախքան ինչ-որ բան վերականգնելը։ Հաշվի գաղտնաբառի վերականգնումը ոչինչ չի անում մոռացված բանալու արտահայտության, չեղարկված կամ ժամկետանց վկայագրի համար, և գաղտնաբառի վերականգնումը, երբ ձախողումը վկայագրի ստուգումն է, երկու րոպեի ուղղումը դարձնում է աջակցության գործ։ Եթե բողոքը նշում է վավերականության ամսաթվեր, նախ ստուգեք սարքի ժամացույցը, ապա՝ նշված վկայագրի սեփական պատուհանը։

Երբ վկայագիրն իսկապես ժամկետանց է, փոխարինումը պետք է գա նրանից, ով այն թողարկել է։ Ուրիշին պատկանող բանալին նորացման ուղի չէ, և գործող պրոֆիլը գործընկերոջից փոխառելը նույնպես։

Ինչ է ապացուցում մաքուր ձեռքսեղմումը և ինչ՝ ոչ

Ավարտված TLS ձեռքսեղմմանը հասնելը նշանակում է, որ կարգավորված ինքնության հարաբերությունը պահպանվել է. սերվերի վկայագիրը շղթայվել է ձեր CA-ին, և ձեր վկայագիրը ընդունվել է։ Սա ոչինչ չի ասում օպերատորի գրանցման քաղաքականության մասին և ոչ էլ այն մասին, թե արդյոք ձեր հավելվածները կաշխատեն թունելը բարձրանալուց հետո։

Երթուղիներն ու DNS-ը կապի ավելի ուշ փուլերն են, ուստի հաջող մուտքից հետո անհասանելի ինտրանետ հոսթը կապի խնդիր է, ոչ վկայագրի։ Աշխատեք այդ շերտի վրա՝ փոխարենը չփոխելով հավատարմագրերը, և պրոֆիլը մեկին հանձնելիս միասին պահեք դրա ծագումը, մասնավոր նյութը և ինքնության ստուգումները։