Sjálfsigneruð eða opinbert CA fyrir VPN: hvað breytist í raun

Þú kemur að skírteinasíðu VPN-uppsetningar, sérð ókeypis sjálfsigneraðan valkost við hlið greidds opinbers CA, og spurningin hljómar eins og öryggisval. Það er í raun val á áhorfendum. Báðir valkostir dulkóða ganginn með sömu frumþáttum, og báðir verða verðlausir ef einkalykillinn lekur. Það sem aðgreinir þá er hver fullyrðir um auðkenni miðlarans og hver er í stöðu til að sannreyna þá fullyrðingu.

Skírteini gegnir tveimur hlutverkum sem ruglast saman

Skírteini tengir opinberan lykil við nafn, og lykillinn vinnur dulkóðunar- og undirritunarvinnuna. Undirskriftin á skírteininu er sérstök yfirlýsing: eitthvert yfirvald hefur sannreynt að nafnið tilheyri þessum lykilhafa. Sjálfsignerað skírteini lætur þá yfirlýsingu um sjálft sig, sem er alls ekki fullyrðing þriðja aðila.

Opinberar vefsíður þurfa útgáfuna frá þriðja aðila, því gestir koma án fyrri tengsla og treysta á traustageymslu vafrans. VPN-biðlari er ekki ókunnugur. Þú gefur honum CA-skírteinið, eða festir skírteini miðlarans, inni í prófílnum sem hann setur upp, svo sannprófunin fer fram gegn nákvæmlega því yfirvaldi sem þú valdir. Ekkert verslunar-CA þarf að koma við sögu til að sú athugun þýði eitthvað.

Styrkur lotunnar sem verður til kemur frá lykilstærð og dulritunarsettinu, ekki frá undirritaranum. Þess vegna er einfaldlega rangt að kalla sjálfsignerað skírteini "minna dulkóðað"; það er minna víðtækt ábyrgt, sem er annar eiginleiki.

Hvar opinbert CA á skilið gjaldið sitt

Skýrasta tilvikið er stjórnunarsíðan. Ef samstarfsmenn, verktakar eða hver sem er án undirbúins prófíls verða að opna vefviðmót VPN-miðlarans án viðvörunar í vafranum, þá fjarlægir opinberlega traust skírteini þá núning. Vafrinn treystir undirritaranum þegar, svo ekkert er að flytja inn og ekkert að útskýra.

Þægindin hafa kostnað sem vert er að nefna fyrir kaup. Endurnýjun verður að vera sjálfvirk eða síðan brotnar samkvæmt áætlun, opinber skírteini afhjúpa hýsilnafnið í gagnsæisskrám skírteina, og útgáfuhraðatakmörk refsa skriftu sem reynir of ákaflega aftur. Ekkert þessara er ástæða til að forðast opinbert CA, en það er rekstrarvinna sem einkaeigið CA færir annað.

Það sem opinbert skírteini gerir ekki er að auðkenna notendur þína. Auðkenni biðlarans er sérstök ákvörðun, tekin með skírteinum biðlara, lykilorðum eða öðrum þætti, og CA sem undirritar miðlarann segir ekkert um hverjir mega tengjast honum.

Hvar einkaeigið CA hentar VPN

Fyrir einkarekið VPN með þekktu safni biðlara er hefðbundið val að reka eigið CA. Þú býrð CA til einu sinni, undirritar skírteini miðlarans með nafni sem biðlararnir munu nota, og dreifir CA-skírteininu inni í hverjum prófíl. Þá sannreynir hver biðlari miðlarann gegn yfirvaldi þínu, og enginn utanaðkomandi aðili kemst að hýsilnafninu.

Kostnaðurinn er raunverulegur en takmarkaður. Vafrar munu vara við þegar einhver opnar stjórnunarsíðuna beint, því vafrinn hefur enga ástæðu til að treysta CA þínu. Dreifing prófíla verður hluti af móttöku, og að skipta um CA þýðir að snerta hvern biðlara. Þetta eru ásættanleg verð fyrir þjónustu með tíu eða fimmtíu þekkta notendur og sársaukafull fyrir opinberan endapunkt með þúsundum.

Eitt skilyrði gerir alla ráðstöfunina gilda: sannprófunin verður að eiga sér stað. Biðlari sem er stilltur að hunsa skírteinisvillur tekur við hvaða miðlara sem er sem kynnir hvaða skírteini sem er, svo auðkennisábyrgðin hverfur á meðan dulkóðunin er kyrr. Sú stilling er raunverulegi veikleikinn í flestum sögum af því að "sjálfsignerað sé óöruggt".

Einkalykill CA ræður því hvað þú getur gert síðar

Óvart kemur venjulega mánuðum síðar, þegar þú vilt bæta við tæki. Útgáfa skírteinis biðlara krefst einkalykils CA, og það sama gildir um að búa til afturköllunarlista. Ef þú erfðir miðlara sem hefur skírteina- og lykilskrárnar en ekki CA-lykilinn, getur þú ekki undirritað neitt nýtt. Valkostir þínir eru að endurbyggja PKI og gefa hverjum biðlara nýtt CA-skírteini, eða skipta yfir í lykilorðsauðkenningu, sem er önnur öryggislíkan og kemur ekki því sem tapaðist aftur.

Tvær minni gildrur lifa á sama svæði. easy-rsa skrifturnar gera ráð fyrir að þú standir í möppunni sem geymir þær, svo villa um skrá sem vantar þýðir venjulega rangan stað frekar en skemmda uppsetningu. Og hönnun sem byggir eingöngu á skírteinum er algerlega lögmæt: þú getur krafist skírteina biðlara án fyrirfram deilds lykils, að því tilskildu að hver biðlari hafi eitt og miðlarinn sannreyni keðjuna.

Gefðu út eitt skírteini fyrir hvert tæki í stað eins sameiginlegs skírteinis biðlara fyrir allt teymið. Tapaður fartölva kostar þig þá eina afturköllun í stað endurútgáfu fyrir alla.

Athugaðu hvað þú erfðir

Áður en þú skipuleggur einhverjar breytingar, lestu skírteinið sem þú hefur nú þegar:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Ef útgefandinn er jafn viðfangsefninu er skírteinið sjálfsignerað, sem er hönnunarval en ekki galli. Dagsetningarnar segja þér hvenær endurnýjun verður vandamál einhvers, og árangursrík sannprófun gegn CA-inu sem þú hyggst senda staðfestir að keðjan virkar áður en einn biðlari prófar hana.

Veldu síðan eftir áhorfendum og dreifingu: opinbert CA þegar ókunnugir vafrar verða að treysta stjórnunarsíðunni, einkaeigið CA þegar hver biðlari fær prófíl sem þú stjórnar. Ekkert svarið er dulkóðaðra en hitt.