Sjálfssigneruð biðlaraskírteini? VPN-þjónninn hafnar því samt

Rekstraraðilinn sendir addressu og notandanafn, og biðlarinn biður um CA-skrá, skírteini og lykil. Að búa þessi þrjú til staðbundinn virðist augljós næsta skref. Útkoman er skírteini sem aðeins þín eigin vél trúir á. Traust þjónsins er fest í CA sem þú stjórnar ekki, svo handabandið endar áður en það hefst.

Traust býr á þjóninum, ekki í prófílnum þínum

Auðkenning með skírteini er samanburður. Biðlarinn leggur fram skírteini; gáttin athugar hvort ein af CA-um í stillingum hennar hafi undirritað það.

Prófíllinn þinn nefnir CA-skrána sem biðlarinn á að nota til að sannreyna þjóninn. Hann getur ekki nefnt CA sem þjónninn á að nota til að sannreyna þig. Sá helmingur stillingarinnar er ekki þinn.

Sjálfgerð skírteini mistakast í þessum samanburði jafnvel þegar þau eru tæknilega fullkomin. Þau hafa gilda undirskrift, viðfang og dagsetningar, en útgefandinn er CA sem gáttin hefur aldrei heyrt um. Villan birtist í handabandinu, eftir að þjónninn hefur þegar beðið um skírteini. Ekkert í biðlaraprófílnum getur breytt svarinu.

Hvers vegna sjálfssignað skírteini getur ekki komið í staðinn

Sjálfssignað skírteini er undirritað með eigin lykli. Undirskriftin sannreyndist gegn sömu skrá, sem gerir það sjálfsamkvæmt og gagnslaust sem skilríki fyrir gátt annarra.

Gáttin spyr ekki hvort skírteinið sé innbyrðis samkvæmt. Hún spyr hvort traustur útgefandi hafi undirritað það.

Þess vegna eru villuskilaboðin ruglingsleg. Biðlarinn getur tilkynnt sannreynslubrest sem hljómar eins og vandamál þjónsins, á meðan þjónninn skráir óþekktan útgefanda. Báðir lýsa sama misræminu frá gagnstæðum endum.

CSR-leiðin varðveitir einkalykilinn þinn

Þú getur enn gert mest af vinnunni staðbundið. Búðu til lykilpar, byggðu beiðni um undirritun skírteinis utan um opinbera helminginn og sendu beiðnina til rekstraraðilans. Aðeins beiðnin yfirgefur vélina þína. Einkahlutinn verður þar sem þú bjóst hann til.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Rekstraraðilinn undirritar beiðnina með CA-inni sinni og skilar skírteini. Einkalykillinn þinn ferðaðist aldrei, og útkoman keðjast að festinni sem gáttin treystir.

Stýrð þjónusta sleppir oft CSR og gefur út allan pakkann. Það er sanngjarnt skipti þegar sami veitandinn lýkur göngunni og hefur CA-ina. Vörslan á lyklinum batnar ekki við að halda honum, því veitandinn gæti slegið nýjan hvenær sem er.

Pökkum er flutt inn, ekki sett upp

Söluaðilapakkar með öryggishljómandi nöfnum eru oft OpenVPN-prófílar. Þeir innihalda stillingar og stundum skírteini, og þeir setja ekkert upp. Flyttu skrána inn í biðlara sem talar samskiptareglurnar, og tengingin er stillt.

Meðferðarreglan leiðir af innihaldinu. Ef prófíllinn felur í sér einkalykil er hann skilríki og á skilið sömu umhyggju og lykilorð: ekkert tölvupóst, ekkert geymsla, engin sameiginleg niðurhalsskrá. Þegar rekstraraðilinn afhendir ca.crt, client.crt og client.key aðskilin, geymdu þau saman með takmörkuðum heimildum og vísaðu prófílnum á þau.

Bættu við þeim athugunum sem rekstraraðilinn kann að hafa sleppt

Prófíll sem beini býr til vantar stundum sannreyndu jafningja. remote-cert-tls server krefst þess að skírteini jafningja beri tilgang þjónsauðkenningar, svo ekki sé hægt að spila biðlaraskírteini aftur sem þjón. Sú eina lína er lítil breyting með skýrri rökstuðningi.

verify-x509-name gengur lengra þegar rekstraraðilinn getur nefnt vænt viðfang eða SAN. Bæði eru litlar viðbætur við prófíl, og bæði eru verjanleg. Skoðaðu það sem þú fékkst áður en þú flytur það inn.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Sannreynslustillingar eru ekki viðgerð á brotinni keðju. Ef útgefandinn er rangur er svarið skírteini frá réttu CA, ekki flagg sem slokknar á athuguninni. Að slökkva á sannreyndu gerir auðkenningarbilun að óuppgötvaðri bilun.

Biddu um einn pakka: skírteini yfirvaldsins sem PEM, biðlaraskírteini sem það yfirvald undirritaði, lykil sem þú bjóst til eða barst um rás sem þú treystir, og nákvæmt heiti þjónsins sem skírteinið á að leggja fram. Skráðu gildistímann í sama skilaboðum, því útrunnið skírteini lítur út eins og netbilun mánuðum síðar.