Hvers vegna afritun ca.key á hvern VPN-biðlara eyðileggur CA

Einhvers staðar í uppsetningarleiðbeiningunum er heil skrá í heild sinni afrituð á hverja fartölvu því það var auðveldara en að ákveða hvaða skrár eiga heima þar. Sú skrá inniheldur ca.key, og um leið og hún berst á annað tæki hættir skírteinisstjórnandi að vera stjórnandi. Hver handhafi getur nú gefið út auðkenni sem restin af netinu mun treysta.

Það er þess virði að greiða úr þessum ruglingi einu sinni, því skrárnar tvær líta svipað út og gera gagnstæða hluti.

Sannprófunarefni og undirritunarefni

Biðlari þarf opinbert skírteini CA til að athuga að skírteinið sem mótaðili leggur fram hafi verið undirritað af þeim stjórnanda. Það er sannprófunarverk og krefst alls ekki leyndarmáls. Undirritun skírteinis mótaðila er annað verk, unnið einu sinni af þeim sem rekur CA, með einkalyklinum sem fer aldrei úr varðveittri geymslu sinni. Að halda þessum tveimur verkum aðskildum er allt tilgangurinn með því að senda tvær skrár.

Þannig á ca.crt heima í prófílnum og ca.key á engan stað nálægt honum. Skráarheitin eru venja, ekki ábyrgð, og þess vegna verður að skoða tegundina í stað þess að álykta hana af heitinu.

Arkitektúr með millistjórnanda CA eða útgáfuþjónustu á netinu er engin undantekning. Það er venjulega leiðin til að halda undirritunargetu fjarri endapunktum og gefa samt út tækjaskírteini í stórum stíl.

Hvað biðlari á að sanna með eigin lykli

Hvert tæki fær sitt eigið lykilpar og sitt eigið skírteini, undirritað einu sinni af CA. Biðlarinn leggur fram það skírteini og sannar að hann hafi samsvarandi einkalykil, og þjónninn ákveður hvort samþykkja eigi það. Þetta er auðkennið sem er afturkallað þegar fartölva glatast.

Andstæðan skiptir mestu eftir þjófnað. Með auðkennum fyrir hvert tæki er einum berskjölduðum biðlara fjarlægt með afturköllun eða með því að fjarlægja mótaðilann, og restin af flotanum heldur áfram að virka.

Lekaður stjórnendalykill verður ekki meðhöndlaður þannig. Hvert skírteini sem hann hefur nokkurn tíma undirritað eða gæti undirritað verður grunsamlegt, svo svarið er að skipta um traust en ekki ein afturköllun. Það er verkefni, ekki beiðni.

Lestu skrá áður en þú afritar hana eitthvert

Tvær skipanir segja þér hvers konar hlut þú heldur á án þess að prenta nokkurt leyndarmál. Sú fyrsta nefnir viðfang og CA-flöggu á skírteini; sú seinni staðfestir lykil og tilkynnir tegund hans. Keyrðu báðar á skrárnar í pakkanum sem þú ert að fara að dreifa. Allt sem staðfestist sem einkalykill á ekki heima í biðlaraskrá.

openssl x509 -in ca.crt -noout -subject -ext basicConstraints
openssl pkey -in ca.key -noout -check

Ef seinni skipunin tekst á skrá sem er í biðlarapakka, stöðvaðu og farðu með pakkann sem mengaðan. Úttak sem segir að lykill sé gildur segir líka að hann sé til staðar, og nærveran er allt vandamálið.

Taktu líka eftir hinni áttinni: biðlaraprófíll inniheldur með réttu einkalykil þess biðlara. Að eyða hverjum lykli sem þú finnur rýfur tenginguna án þess að bæta nokkuð, svo auðkenna verður hlutinn áður en hann er fjarlægður.

Að halda í skefjum lykli sem þú hefur þegar dreift

Ekki gera ráð fyrir að eyðing staðbundna afritsins snúi berskjölduninni við. Hver sem hafði skrána gat afritað hana, og örugga forsenda er að svo hafi verið. Fylgdu atviksferli rekstraraðilans og skiptu um traustsakkerið, með því að gefa út tækjaskírteini að nýju undir nýjum CA.

Breyttu svo umbúðunum sem ollu vandamálinu. Sendu skráarlista með skýrum leyfðum skrám, haltu CA-lyklinum á vél sem gengur aldrei í biðlaraflotann, og skráðu hvaða kerfi geymir hann.

Ef stjórnandinn verður að gefa út oft, færðu undirritunina bak við þjónustu eða millistjórnanda með þröngt svið og stuttan gildistíma. Þannig afhjúpar framtíðarmistök undirmengi útgáfunnar en ekki traustsrót allrar uppsetningarinnar.