Ինքնաստորագրված ընդդեմ հանրային CA-ի VPN-ի համար՝ ինչ է իրականում փոխվում

Դուք հասնում եք VPN-ի կարգավորման վկայագրերի էջին, տեսնում եք անվճար ինքնաստորագրված տարբերակ վճարովի հանրային CA-ի կողքին, և հարցը հնչում է որպես անվտանգության ընտրություն։ Իրականում դա լսարանի ընտրություն է։ Երկու տարբերակներն էլ գաղտնագրում են թունելը նույն տարրերով, և երկուսն էլ դառնում են անարժեք, եթե մասնավոր բանալին արտահոսի։ Նրանց բաժանողը այն է, թե ով է պնդում սերվերի ինքնության մասին և ով է դիրքում ստուգելու այդ պնդումը։

Վկայագիրը կատարում է երկու աշխատանք, որոնք շփոթում են

Վկայագիրը հանրային բանալին կապում է անվան հետ, և բանալին կատարում է գաղտնագրման ու ստորագրման աշխատանքը։ Վկայագրի վրա ստորագրությունը առանձին հայտարարություն է՝ ինչ-որ մարմին ստուգել է, որ անունը պատկանում է այս բանալու տիրոջը։ Ինքնաստորագրված վկայագիրը այդ հայտարարությունը անում է իր մասին, ինչը բոլորովին երրորդ կողմի պնդում չէ։

Հանրային կայքերին անհրաժեշտ է երրորդ կողմի տարբերակը, որովհետև այցելուները գալիս են առանց նախնական հարաբերության և ապավինում են դիտարկիչի վստահության պահոցին։ VPN-ի հաճախորդը օտար չէ։ Դուք նրան տալիս եք CA-ի վկայագիրը կամ ամրացնում սերվերի վկայագիրը տեղադրվող պրոֆիլի ներսում, այնպես որ ստուգումը կատարվում է հենց ձեր ընտրած մարմնի դեմ։ Ոչ մի առևտրային CA պետք չէ ներգրավել, որպեսզի այդ ստուգումը ինչ-որ բան նշանակի։

Ստացված սեսիայի ուժը գալիս է բանալու չափից և գաղտնագրման հավաքածուից, ոչ ստորագրողից։ Այդ պատճառով ինքնաստորագրված վկայագիրը "ավելի քիչ գաղտնագրված" անվանելը պարզապես սխալ է՝ այն ավելի քիչ լայնորեն երաշխավորված է, ինչը այլ հատկություն է։

Որտեղ է հանրային CA-ն վաստակում իր վճարը

Ամենապարզ դեպքը կառավարման էջն է։ Եթե գործընկերները, կապալառուները կամ պատրաստի պրոֆիլ չունեցող որևէ մեկը պետք է բացի VPN սերվերի վեբ ինտերֆեյսը առանց դիտարկիչի նախազգուշացման, ապա հանրայնորեն վստահելի վկայագիրը վերացնում է այդ շփումը։ Դիտարկիչն արդեն վստահում է ստորագրողին, ուստի ներմուծելու բան չկա և բացատրելու բան չկա։

Այդ հարմարավետությունն ունի ծախսեր, որոնք արժե անվանել գնելուց առաջ։ Թարմացումը պետք է ավտոմատացվի, այլապես կայքը կոտրվում է ըստ ժամանակացույցի, հանրային վկայագրերը բացահայտում են հոսթի անունը վկայագրերի թափանցիկության մատյաններում, և թողարկման արագության սահմանափակումները պատժում են չափից ավելի եռանդուն կրկնվող սկրիպտին։ Դրանցից ոչ մեկը հանրային CA-ից խուսափելու պատճառ չէ, բայց դա գործառնական աշխատանք է, որը մասնավոր CA-ն տեղափոխում է այլ տեղ։

Այն, ինչ հանրային վկայագիրը չի անում, ձեր օգտատերերին նույնականացնելն է։ Հաճախորդի ինքնությունը առանձին որոշում է, կայացվում է հաճախորդի վկայագրերով, գաղտնաբառերով կամ երկրորդ գործոնով, և սերվերը ստորագրող CA-ն ոչինչ չի ասում այն մասին, թե ով կարող է միանալ դրան։

Որտեղ է մասնավոր CA-ն համապատասխանում VPN-ին

Հայտնի հաճախորդների հավաքածու ունեցող մասնավոր VPN-ի համար սեփական CA-ն վարելը սովորական ընտրություն է։ Դուք CA-ն ստեղծում եք մեկ անգամ, ստորագրում սերվերի վկայագիրը այն անունով, որը կօգտագործեն հաճախորդները, և տարածում CA-ի վկայագիրը յուրաքանչյուր պրոֆիլի ներսում։ Այնուհետև յուրաքանչյուր հաճախորդ ստուգում է սերվերը ձեր մարմնի դեմ, և ոչ մի արտաքին կողմ չի իմանում հոսթի անունը։

Ծախսերն իրական են, բայց սահմանափակ։ Դիտարկիչները կզգուշացնեն, երբ ինչ-որ մեկը ուղղակիորեն բացի կառավարման էջը, որովհետև դիտարկիչը պատճառ չունի վստահելու ձեր CA-ին։ Պրոֆիլների տարածումը դառնում է ընդունելության մաս, և CA-ն փոխելը նշանակում է դիպչել յուրաքանչյուր հաճախորդի։ Դրանք ընդունելի գներ են տասը կամ հիսուն հայտնի օգտատեր ունեցող ծառայության համար և ցավոտ՝ հազարավորներով հանրային վերջնակետի համար։

Մեկ պայման է ամբողջ կարգավորումը վավեր դարձնում՝ ստուգումը պետք է տեղի ունենա։ Վկայագրի սխալներն անտեսելու համար կարգավորված հաճախորդը ընդունում է ցանկացած սերվեր, որը ներկայացնում է ցանկացած վկայագիր, ուստի ինքնության երաշխիքը անհետանում է, մինչ գաղտնագրումը մնում է։ Այդ կարգավորումն է իրական թուլությունը "ինքնաստորագրվածը անապահով է" պատմությունների մեծ մասում։

CA-ի մասնավոր բանալին որոշում է, թե ինչ կարող եք անել հետո

Անակնկալը սովորաբար գալիս է ամիսներ անց, երբ ուզում եք սարք ավելացնել։ Հաճախորդի վկայագիր թողարկելու համար անհրաժեշտ է CA-ի մասնավոր բանալին, ինչպես նաև չեղարկման ցուցակ ստեղծելու համար։ Եթե ժառանգել եք սերվեր, որն ունի վկայագրի և բանալու ֆայլերը, բայց ոչ CA-ի բանալին, ապա չեք կարող նոր բան ստորագրել։ Ձեր տարբերակներն են վերակառուցել PKI-ն և յուրաքանչյուր հաճախորդի տալ նոր CA վկայագիր, կամ անցնել գաղտնաբառով նույնականացման, ինչը այլ անվտանգության մոդել է և չի վերականգնում կորցրածը։

Երկու ավելի փոքր թակարդ ապրում են նույն տարածքում։ easy-rsa սկրիպտները ենթադրում են, որ դուք կանգնած եք այն պանակում, որը պարունակում է դրանք, ուստի բացակայող ֆայլի սխալը սովորաբար նշանակում է սխալ տեղադրություն, ոչ թե վնասված տեղակայում։ Եվ միայն վկայագրերի վրա հիմնված ձևավորումը լիովին օրինական է՝ կարող եք պահանջել հաճախորդի վկայագրեր առանց նախապես կիսված բանալու, պայմանով, որ յուրաքանչյուր հաճախորդ ունի մեկը և սերվերը ստուգում է շղթան։

Թողարկեք մեկ վկայագիր յուրաքանչյուր սարքի համար, այլ ոչ թե մեկ ընդհանուր հաճախորդի վկայագիր ամբողջ թիմի համար։ Այնուհետև կորցրած նոութբուքը ձեզ արժենում է մեկ չեղարկում՝ բոլորի համար վերաթողարկելու փոխարեն։

Ստուգեք, թե ինչ եք ժառանգել

Ցանկացած փոփոխություն պլանավորելուց առաջ կարդացեք ձեր արդեն ունեցած վկայագիրը՝

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Եթե թողարկողը հավասար է սուբյեկտին, վկայագիրը ինքնաստորագրված է, ինչը ձևավորման ընտրություն է, ոչ թե թերություն։ Ամսաթվերը ձեզ ասում են, թե երբ թարմացումը կդառնա ինչ-որ մեկի խնդիրը, և ձեր ուղարկելիք CA-ի դեմ հաջող ստուգումը հաստատում է, որ շղթան աշխատում է մինչև որևէ հաճախորդի փորձելը։

Ապա ընտրեք ըստ լսարանի և տարածման՝ հանրային CA, երբ անհայտ դիտարկիչները պետք է վստահեն կառավարման էջին, մասնավոր CA, երբ յուրաքանչյուր հաճախորդ ստանում է ձեր վերահսկած պրոֆիլը։ Պատասխաններից ոչ մեկը մյուսից ավելի գաղտնագրված չէ։