OpenVPN-snið hefur þrjá vottorðakubba: hver þeirra er leyndur?

Þú opnar .ovpn-skrá til að breyta einni línu og finnur þrjá base64-kubba sem allir líta út eins og innskráningarupplýsingar. Einn er öruggur að birta, annar er jafn viðkvæmur og lykilorð, og þriðji er opinber lykill sem þýðir ekkert nema eitthvað annað hafi verið undirritað með pramma hans. Fólk límir alla skrána inn í stuðningsþráð því kubbarnir virðast skiptanlegir, og þannig endar biðlaralykill í opinberu skjalasafni. Að greina hvað hver kubbur gerir útskýrir mestan hluta ruglingsins í kringum þessi snið og segir þér líka hvaða bilanir þú átt að laga sjálfur.

Ein skrá, þrír kubbar, ólík verk

Dæmigert snið felldir ca-kubb, cert-kubb og key-kubb inn milli BEGIN- og END-merkjanna, eða vísar á sömu þrjá sem aðskildar skrár. Sum snið bæta fjórða kubbnum við fyrir tls-auth eða tls-crypt lykil, sem er sameiginleg leynd og ekki vottorð. Biðlarinn les hvern kubb samkvæmt tilskipuninni sem nefnir hann, svo merkingarnar skipta meira máli en röðin sem þeir birtast í.

Meðhöndlaðu samsetta sniðið sem viðkvæmt þar til þú hefur í raun litið inn í það. Opinbert vottorð og einkalykill geta verið nokkrar línur í sundur í sömu skrá, og skjáskot sem inniheldur hausinn getur innihaldið bæði. Að hylja sýnilega base64-kubbinn með höndunum er líka óáreiðanlegt, því hlutkubbi lekur samt vottorðsupplýsingunum sem nefna uppsetninguna þína. Að afrita þrjár tilskipanir án gildanna er venjulega nóg til að spyrja gagnlegrar spurningar.

Tilskipanirnar í kringum kubbana ákvarða hvernig þeir eru notaðir. Breyttu ca og biðlarinn treystir öðru yfirvaldi; breyttu cert án þess að breyta key og handabandið bregst með misræmi sem hefur ekkert með traust að gera.

CA-kubburinn er opinber, CA-lykillinn aldrei

Vottorðayfirvald undirritar vottorð sem binda opinberan lykil við auðkenni, og eigið vottorð þess er akkerið sem biðlari notar til að ákveða hvort keðja sé traust. Það vottorð er opinbert að hönnun: að senda það inni í hverju sniði er eðlilegt, og þess vegna getur sjálfundirritað uppsetning virkað án viðskiptayfirvalds.

Það sem aldrei má birtast í biðlarasniði er einkafóðurlykill yfirvaldsins. Biðlarinn þarf hann ekki til að sannreyna neitt, og tilvist hans þýðir að hver sem hefur sniðið getur búið til ný auðkenni fyrir alla uppsetninguna.

Að treysta yfirvaldi er líka þrengra en það hljómar. Biðlari sem tekur við hvaða vottorði sem CA hefur undirritað tekur enn við vottorði sem gefið var út fyrir aðra þjónustu á sama CA. Valkostir sem festa vænt hlutverk eða nafn þjónsins loka þessari glufu, og TLS-valkostaviðmiðunin telur upp sannprófunartilskipanirnar sem gera það.

Vottorð þjóns og biðlara vísa í gagnstæðar áttir

Vottorð þjónsins er það sem biðlarinn skoðar til að staðfesta að hann hafi náð réttum endapunkti. Biðlaravottorðið þitt virkar öfugt: þjónninn notar það til að ákveða að þetta tæki eða notandi sé eitt sem hann skráði. Sama snið, gagnstæð trauststefna.

Heimilisfang er ekki auðkenni. Að ná réttu IP-sviði sannar ekkert um hver svaraði, þess vegna tilheyrir athugun á hýslinafni eða vottorðsnafni enn sniðinu. Lykilorð reiknings kemur heldur ekki í stað áskilins biðlaravottorðs í hljóði, því bæði eru athuguð á ólíkum stigum og uppsetning getur krafist beggja.

Einkalykill biðlarans er sá hluti sem verður að vera einkamál. Ef hann kann að hafa orðið opinber breytir það engu á þjóninum að eyða skránni af fartölvunni, hann heldur áfram að taka við samsvarandi vottorði þar til rekstraraðilinn afturkallar það. Að biðja rekstraraðilann um að skipta um eða afturkalla þetta auðkenni er eina lausnin sem ferðast með þér.

Tvær beiðnir sem líta eins út og eru það ekki

Lykill sem geymdur er á dulkóðuðu formi biður um lykilsetningu áður en biðlarinn getur notað hann. VPN-þjónustan getur beðið sérstaklega um lykilorð reiknings, og beiðnirnar tvær geta birst með sekúndna millibili með næstum sömu orðalagi. Lykilsetningin verndar skrá á disknum þínum; lykilorðið sannar reikning fyrir þjóni. Að rugla þeim sendir fólk í endurstillingar lykilorða sem geta alls ekki hjálpað.

Lestu beiðnina áður en þú endurstillir nokkuð. Endurstilling lykilorðs reiknings gerir ekkert fyrir gleymda lykilsetningu, afturkallað eða útrunnið vottorð, og að endurstilla lykilorðið þegar bilunin er vottorðssannprófun gerir tveggja mínútna lagfæringu að stuðningsmáli. Ef kvörtunin nefnir gildisdagsetningar skaltu athuga klukku tækisins fyrst og svo eigið glugga nefnda vottorðsins.

Þegar vottorðið er í raun útrunnið verður endurnýjunin að koma frá þeim sem gaf það út. Lykill sem tilheyrir einhverjum öðrum er ekki endurnýjunarleið, og að fá lánað virkt snið frá samstarfsmanni er það ekki heldur.

Hvað hreint handaband sannar og hvað ekki

Að ná loknu TLS-handabandi þýðir að stillta auðkennissambandið hélt: vottorð þjónsins keðjaðist við CA-ið þitt og vottorð þitt var samþykkt. Það segir ekkert um skráningastefnu rekstraraðilans, og ekkert um hvort forritin þín virki þegar göngin eru komin upp.

Leiðir og DNS eru síðari stig tengingarinnar, svo óaðgengilegur innra-netsþjónn eftir vel heppnaða innskráningu er tengingarvandamál en ekki vottorðsvandamál. Vinnið á því lagi í stað þess að skipta um innskráningarupplýsingar, og haldið uppruna sniðsins, einkefni þess og auðkennisathugunum saman þegar þið afhendið það einhverjum.