OpenVPN án CA: hvernig peer-fingerprint sannreynir jafningja

Lítil uppsetning grípur til fingrafara því skírteinisstofnun lítur út eins og innviðir sem enginn hefur tíma til að reka. Eðlishvötin er skynsamleg, en styttri leiðin sem fólk tekur í staðinn—að afrita eitt leyndarmál gagnarásarinnar á báða enda—er það ekki. peer-fingerprint uppsetning heldur TLS byggingu ósnortinni: hvor hlið heldur enn eigin einkalykli og skírteini, og hvor hlið sannreynir enn hina. Það sem breytist er hvar sannreyndin er fest: frá traustum útgefanda yfir í stuttan lista festra samantekta. Þar sem samantekt nær yfir allt skírteinið en ekki nafn, verður endurnýjun sú aðgerð sem tekur raunverulegan tíma.

Við hvað fingrafarið skuldbindur sig í raun

Fingrafar skírteinis er samantekt af öllu DER-kóðuðu skírteininu, ekki af opinberum lykli þess og ekki af nafni viðfangs þess. Þess vegna hafa tvö skírteini með sama nafn og sama lykil en mismunandi gildistíma mismunandi fingraför. Það gerir festinguna nákvæma, og það gerir endurnýjunina einnig truflandi. Festing getur ekki þýtt traust á lykli almennt, því hún nefnir einn grip á einni stundu í lífi hans. Hver sem er má þekkja samantektina, og þekking á henni sannar ekkert eitt sér.

openssl x509 -in server.crt -noout -fingerprint -sha256
openssl x509 -in client-07.crt -noout -fingerprint -sha256

Eign á samsvarandi einkalykli er það sem sannar að jafninginn hefur þetta skírteini, og samantektin er hvernig hin hliðin ákveður hvort hún bjóst yfirhöfuð við þessu skírteini. Þessi aðskilnaður er ástæðan fyrir því að þessi hönnun er ekki gamla fyrirkomulagið með sameiginlegu leyndarmáli: sameiginlegur lykill auðkennir hvern þann sem þekkir sömu bætin, en festing auðkennir eitt skírteini. Önnur tæki fá sína eigin færslu í stað afrits af sama leyndarmáli, sem er lítill munur í skrám og mikill í umfangi tjóns.

Kortið er gagnkvæmt, ekki samhverft

Hver endapunktur þarf tvo hluti: eigin einkalykil með skírteininu, og yfirlýsingu um hvaða jafningjaskírteini hann muni samþykkja. Hjá biðlarinum er sú yfirlýsing samantekt skírteinis miðlarans; hjá miðlaranum er hún listi yfir skráðar biðlarasamantektir. Opinbert dæmi um litla uppsetningu fyrir Community 2.6 sýnir fyrirkomulagið með peer-fingerprint, og það er þess virði að lesa áður en þú velur þetta traustmódel fyrir raunverulega uppsetningu. Hinar tvær áttir eru ekki ein umsnúin listi, og þær mistakast ekki á sama augnabliki.

Að bæta við tæki breytir leyfislista á miðlaranum, án þess að afrita einkaeign núverandi biðlara og án þess að flytja lykil miðlarans nokkurs staðar. Hinar tvær áttir mistakast líka óháð, sem er gagnlegt við greiningu: sú hlið sem lokar handabandinu er sú hlið sem vænting hennar var ekki uppfyllt. Ef biðlarinn hafnar miðlaranum passar samantektin ekki við skírteinið sem er kynnt. Ef miðlarinn hafnar biðlaranum vantar samantekt þess biðlara á listann, eða biðlarinn kynnir annað skírteini en það sem var skráð.

Skráning: hvernig nýtt tæki gengur inn

Búðu til lykil og skírteini hins nýja tækis þar sem einkalykillinn mun búa, og færðu síðan aðeins opinbera gripinn til þeirrar hliðar sem þarf að festa hann. Flyttu vænta samantekt um rás sem þú treystir þegar, og berðu saman allt skírteinið í stað nafns sem lítur kunnuglega út. Samantekt sem afrituð er úr sama óstaðfesta niðurhali og skírteinið sannar aðeins að skjölin tvö stemmi hvort við annað. Þetta er samræmisprófun, ekki auðkennisprófun, og það er hljóðlátasta leiðin sem þessi hönnun veikist á.

Á miðlaranum er að bæta við samantektinni stillingarbreyting sem fer í gegnum venjulega stjórnandan og fylgir endurtenging. Staðfestu að nýja tækið tengist og að tæki þar sem samantektinni var eytt tengist ekki lengur. Próf sem nær aðeins yfir jákvæða tilfellið skilur leyfislistann óstaðfestan, og það er nákvæmlega ástandið sem þú verður í eftir sex mánuði.

Endurnýjun er kostnaðarsama augnablikið

Hvert skírteini rennur út, og nýtt skírteini hefur nýja samantekt jafnvel þótt lykillinn og nöfnin haldist þau sömu. Undir útgefanda er endurnýjun gagnsæ fyrir jafningja sem treysta þeim útgefanda; undir festingu er hún skráningaratburður fyrir hvern jafningja sem festir skírteinið.

Skipuleggðu röðina fyrir lokadaginn en ekki eftir hann. Dreifðu nýju samantektinni til þeirra aðila sem sannreyna hana, beittu breytingunni, og skiptu aðeins þá út skírteininu á endapunktinum. Sú röð skilur ekki eftir glugga þar sem hinar tvær hliðar eru ósammála um hvaða skírteini sé núgildandi. Haltu listanum sjálfum einnig til endurskoðunar, því festur listi safnar færslum fyrir tæki sem voru tekin úr notkun fyrir mánuðum. Hver úrelt færsla er auðkenni sem auðkennir sig enn ef lykillinn lifir af, svo að fjarlægja eina er öryggisaðgerð en ekki tiltekt.

Hvað traustkortið ræður ekki

Auðkenning er eitt lag, og festa kortið segir ekkert um vistfangið, ýttu leiðirnar, MTU slóðarinnar eða reglu eldveggsins. Þau halda áfram að vera sér stilling með sérstökum bilunum. Göng sem auðkenna sig og flytja engan umferð eru önnur rannsókn en þau sem koma aldrei upp.

Kortið stækkar heldur ekki endalaust, og PKI byggt á útgefanda er þangað sem stærri uppsetningar rata. Þessi tilhneiging snýst um rekstur en ekki dulritun, því að bæta við og taka út auðkenni í gegnum eina stofnun er ódýrara en að breyta lista á hverjum jafningja eftir því sem flotinn stækkar. Þar sem biðlarauppsetning styður ekki valkostinn er svarið samhæft traustmódel sem sá biðlari skjalfestir, eða studd staðgengill. Að bæla sannreyndarviðvörunina bætir ekki við þeim stuðningi, og allt gildi hönnunarinnar er að sannreyndin fer enn fram.