Ինչու ca.key-ի պատճենումը յուրաքանչյուր VPN հաճախորդի մոտ քանդում է CA-ն
Հաճախորդը ստուգում է CA-ի հանրային վկայականը. նրան երբեք պետք չէ այն բանալին, որը ստորագրում է։ ca.key-ը յուրաքանչյուր սարքի վրա պատճենելը թողարկման իրավունքը հանձնում է նրան, ով վերցնում է մեկ օրինակ։
Տեղադրման հրահանգների ինչ-որ տեղ մի ամբողջ պանակ ամբողջությամբ պատճենվում է յուրաքանչյուր նոթբուքի վրա, որովհետև դա ավելի հեշտ էր, քան որոշել, թե որ ֆայլերն են այնտեղ տեղավորվում։ Այդ պանակը պարունակում է ca.key, և այն պահին, երբ այն հասնում է երկրորդ սարքին, վկայագրերի մարմինը դադարում է մարմին լինելուց։ Այժմ ցանկացած սեփականատեր կարող է թողարկել ինքնություններ, որոնց ցանցի մնացած մասը կվստահի։
Արժե մեկ անգամ պարզել այս շփոթությունը, որովհետև երկու ֆայլերը նման են երևում և հակառակ գործողություններ կատարում։
Ստուգման նյութ և ստորագրման նյութ
Հաճախորդին անհրաժեշտ է CA-ի հանրային վկայականը՝ ստուգելու, որ մյուս կողմի ներկայացրած վկայականը ստորագրվել է այդ մարմնի կողմից։ Սա ստուգման խնդիր է և բոլորովին գաղտնիք չի պահանջում։ Մյուս կողմի վկայականը ստորագրելը այլ խնդիր է, որը մեկ անգամ կատարում է CA-ն վարողը՝ մասնավոր բանալիով, որը երբեք չի հեռանում իր պաշտպանված պահոցից։ Այս երկու աշխատանքներն իրարից անջատ պահելը երկու ֆայլ ուղարկելու ամբողջ իմաստն է։
Այսպիսով, ca.crt-ը պատկանում է պրոֆիլին, իսկ ca.key-ը ոչ մի տեղ մոտիկ չի պատկանում։ Ֆայլերի անունները պայմանավորվածություն են, ոչ երաշխիք, դրա համար էլ տեսակը պետք է ստուգել, այլ ոչ թե անունից ենթադրել։
Միջանկյալ CA-ով կամ առցանց թողարկման ծառայությամբ ճարտարապետությունը բացառություն չէ։ Դա սարքերի վկայականները մեծածավալ թողարկելիս ստորագրման ունակությունը վերջնակետերից հեռու պահելու ստանդարտ ձևն է։
Ինչ պետք է ապացուցի հաճախորդն իր սեփական բանալիով
Յուրաքանչյուր սարք ստանում է իր զույգ բանալին և իր վկայականը, որը CA-ն ստորագրում է մեկ անգամ։ Հաճախորդը ներկայացնում է այդ վկայականը և ապացուցում, որ տիրապետում է համապատասխան մասնավոր բանալուն, իսկ սերվերը որոշում է՝ ընդունել այն, թե ոչ։ Սա այն ինքնությունն է, որը չեղարկվում է նոթբուքի կորստի դեպքում։
Հակադրությունն ամենակարևորն է գողությունից հետո։ Յուրաքանչյուր սարքի համար առանձին ինքնության դեպքում մեկ բացված հաճախորդ հեռացվում է չեղարկմամբ կամ մյուս կողմին հեռացնելով, և նավատորմի մնացած մասը շարունակում է աշխատել։
Արտահոսած մարմնի բանալին հնարավոր չէ այդպես կառավարել։ Յուրաքանչյուր վկայական, որը նա երբևէ ստորագրել է կամ կարող էր ստորագրել, դառնում է կասկածելի, ուստի պատասխանը վստահության փոխարինումն է, ոչ թե մեկ չեղարկումը։ Սա նախագիծ է, ոչ տոմս։
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Կարդացեք ֆայլը նախքան այն ինչ-որ տեղ պատճենելը
Երկու հրաման առանց որևէ գաղտնիք տպելու ասում են, թե ինչ տեսակի օբյեկտ եք պահում ձեռքում։ Առաջինը նշում է վկայականի ենթակային և CA-ի դրոշը, երկրորդը վավերացնում է բանալին և հաղորդում դրա տեսակը։ Գործարկեք երկուսն էլ այն փաթեթի ֆայլերի վրա, որը պատրաստվում եք տարածել։ Այն ամենը, ինչ վավերանում է որպես մասնավոր բանալի, տեղ չունի հաճախորդի պանակում։
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Եթե երկրորդ հրամանը հաջողվում է հաճախորդի փաթեթում գտնվող ֆայլի վրա, կանգ առեք և փաթեթը համարեք վտանգված։ Արդյունքը, որն ասում է՝ բանալին վավեր է, նաև ասում է՝ այն առկա է, և հենց առկայությունն է ամբողջ խնդիրը։
Ուշադրություն դարձրեք նաև հակառակ ուղղությանը. հաճախորդի պրոֆիլը օրինականորեն պարունակում է այդ հաճախորդի սեփական մասնավոր բանալին։ Գտնված յուրաքանչյուր բանալի ջնջելը կապը կտրում է առանց որևէ բան բարելավելու, ուստի օբյեկտը պետք է նույնականացվի նախքան հեռացնելը։
Արդեն տարածված բանալու սահմանափակում
Չենթադրեք, որ տեղական պատճենը ջնջելը հետ է շրջում բացահայտումը։ Ով ունեցել է ֆայլը, կարող էր պատճենել այն, և անվտանգ ենթադրությունն այն է, որ պատճենել է։ Հետևեք օպերատորի միջադեպերի ընթացակարգին և փոխարինեք վստահության խարիսխը՝ նոր CA-ի ներքո վերաթողարկելով սարքերի վկայականները։
Ապա փոխեք այն փաթեթավորումը, որն առաջացրել է խնդիրը։ Ուղարկեք պանակի ցանկ՝ ֆայլերի հստակ թույլատրելի ցանկով, պահեք CA-ի բանալին այն մեքենայի վրա, որը երբեք չի միանում հաճախորդների նավատորմին, և գրանցեք, թե որ համակարգն է այն պահում։
Եթե մարմինը պետք է հաճախ թողարկի, ստորագրումը տեղափոխեք նեղ շրջանակով և կարճ վավերականությամբ ծառայության կամ միջանկյալ մարմնի հետևում։ Այդպես ապագա սխալը բացահայտում է թողարկման մի մասը, այլ ոչ ամբողջ տեղակայման վստահության արմատը։