OpenVPN-ის პროფილში სამი სერტიფიკატის ბლოკია: რომელია საიდუმლო?

თქვენ ხსნით .ovpn ფაილს ერთი ხაზის შესაცვლელად და პოულობთ base64-ის სამ ბლოკს, რომლებიც ყველა საიდენტიფიკაციო მონაცემს ჰგავს. ერთი უსაფრთხოა გამოსაქვეყნებლად, მეორე ისეთივე მგრძნობიარეა, როგორც პაროლი, ხოლო მესამე საჯარო გასაღებია, რომელსაც არაფერი ნიშნავს, თუ მისი წყვილით სხვა რამ არ არის ხელმოწერილი. ადამიანები მთელ ფაილს აკრავენ მხარდაჭერის თემაში, რადგან ბლოკები ურთიერთშემცვლელად გამოიყურება, და სწორედ ასე აღმოჩნდება კლიენტის გასაღები საჯარო არქივში. იმის გარჩევა, რომელი ბლოკი რას აკეთებს, ხსნის ამ პროფილების გარშემო არსებული გაუგებრობის უმეტეს ნაწილს და გეუბნებათ, რომელი ხარვეზები უნდა გამოასწოროთ თავად.

ერთი ფაილი, სამი ბლოკი, სხვადასხვა საქმე

ტიპური პროფილი BEGIN და END ნიშნულებს შორის ათავსებს ca ბლოკს, cert ბლოკს და key ბლოკს, ან მიუთითებს იმავე სამეზე, როგორც ცალკეულ ფაილებზე. ზოგი პროფილი ამატებს მეოთხე ბლოკს tls-auth ან tls-crypt გასაღებისთვის, რომელიც საერთო საიდუმლოა და არა სერტიფიკატი. კლიენტი ყოველ ბლოკს კითხულობს იმ დირექტივის მიხედვით, რომელიც მას ასახელებს, ამიტომ იარლიყები უფრო მნიშვნელოვანია, ვიდრე მათი გამოჩენის რიგი.

შეკრებილ პროფილს მოექეცით როგორც მგრძნობიარეს, სანამ ნამდვილად არ ჩაიხედავთ შიგნით. საჯარო სერტიფიკატი და კერძო გასაღები შეიძლება ერთ ფაილში რამდენიმე ხაზის დაშორებით იყოს, ხოლო სათაურის ჩამომრთავი ეკრანის სურათი ორივეს შეიცავდეს. თვალსაჩინო base64-ის ხელით დაფარვა ასევე არასაიმედოა, რადგან ნაწილობრივი ბლოკიც კი აჟონავებს სერტიფიკატის იმ მეტამონაცემებს, რომლებიც თქვენს განლაგებას ასახელებს. სამი დირექტივის მათი მნიშვნელობების გარეშე კოპირება ჩვეულებრივ საკმარისია სასარგებლო კითხვის დასასმელად.

ბლოკების ირგვლივ არსებული დირექტივები განსაზღვრავენ, როგორ გამოიყენება ისინი. შეცვალეთ ca და კლიენტი სხვა ორგანოს ენდობა; შეცვალეთ cert key-ის შეუცვლელად და ხელის ჩამორთმევა ვერ ხერხდება ისეთი შეუსაბამობით, რომელსაც ნდობასთან კავშირი არ აქვს.

CA ბლოკი საჯაროა, CA გასაღები — არასოდეს

სერტიფიკატის ორგანო ხელს აწერს სერტიფიკატებს, რომლებიც საჯარო გასაღებს იდენტობას აკავშირებს, და მისი საკუთარი სერტიფიკატი არის ის ღუზა, რომლითაც კლიენტი წყვეტს, სანდოა თუ არა ჯაჭვი. ეს სერტიფიკატი კონსტრუქციით საჯაროა: მისი ყოველ პროფილში ჩადება ნორმალურია და სწორედ ამიტომ შეიძლება თვითხელმოწერილი განლაგება კომერციული ორგანოს გარეშე მუშაობდეს.

რაც არასოდეს უნდა გამოჩნდეს კლიენტის პროფილში, არის ორგანოს კერძო ხელმოწერის გასაღები. კლიენტს ის არაფრის გადამოწმებისთვის არ სჭირდება, ხოლო მისი არსებობა ნიშნავს, რომ პროფილის მფლობელს შეუძლია მთელი განლაგებისთვის ახალი იდენტობები შექმნას.

ორგანოს ნდობა უფრო ვიწროა, ვიდრე ჟღერს. კლიენტი, რომელიც იღებს CA-ს მიერ ხელმოწერილ ნებისმიერ სერტიფიკატს, მაინც მიიღებს იმავე CA-ზე სხვა სერვისისთვის გაცემულ სერტიფიკატს. ოფციები, რომლებიც აფიქსირებენ სერვერის მოსალოდნელ როლსა და სახელს, ხურავს ამ ნაპრალს, და TLS ოფციების ცნობარი ჩამოთვლის იმ შემოწმების დირექტივებს, რომლებიც ამას აკეთებენ.

სერვერისა და კლიენტის სერტიფიკატები საპირისპირო მიმართულებით მიუთითებენ

სერვერის სერტიფიკატი არის ის, რასაც კლიენტი ამოწმებს, რომ დარწმუნდეს სწორ ბოლო წერტილამდე მისვლაში. თქვენი კლიენტის სერტიფიკატი პირიქით მუშაობს: სერვერი მას იყენებს იმის გადასაწყვეტად, რომ ეს მოწყობილობა ან მომხმარებელი მის მიერ რეგისტრირებულია. იგივე ფორმატი, ნდობის საპირისპირო მიმართულება.

მისამართი იდენტობა არ არის. სწორ IP-ზე მისვლა არაფერს ამტკიცებს იმის შესახებ, თუ ვინ უპასუხა, ამიტომ ჰოსტის სახელისა და სერტიფიკატის სახელის შემოწმება კვლავ პროფილს ეკუთვნის. ანგარიშის პაროლი ასევე ჩუმად არ ცვლის საჭირო კლიენტის სერტიფიკატს, რადგან ორივე სხვადასხვა ეტაპზე მოწმდება და განლაგებას შეიძლება ორივე დასჭირდეს.

კლიენტის კერძო გასაღები ის ნაწილია, რომელიც კერძოდ უნდა დარჩეს. თუ ის შეიძლება გამჟღავნებულიყო, ფაილის წაშლა თქვენი ლეპტოპიდან არაფერს ცვლის სერვერზე, რომელიც გააგრძელებს შესაბამისი სერტიფიკატის მიღებას, სანამ ოპერატორი მას გააუქმებს. ოპერატორისგან ამ იდენტობის შეცვლის ან გაუქმების თხოვნა ერთადერთი გამოსავალია, რომელიც თქვენთან ერთად მოგზაურობს.

ორი მოთხოვნა, რომლებიც ერთნაირად გამოიყურება და არ არიან

დაშიფრული სახით შენახული გასაღები ითხოვს პაროლ-ფრაზას, სანამ კლიენტი მას გამოიყენებს. VPN სერვისმა შეიძლება ცალკე მოითხოვოს ანგარიშის პაროლი, და ორი მოთხოვნა შეიძლება წამების დაშორებით გამოჩნდეს თითქმის იგივე ფორმულირებით. ფრაზა თქვენს დისკზე არსებულ ფაილს იცავს; პაროლი ანგარიშს სერვერის წინაშე ამტკიცებს. მათი ერთმანეთში არევა ადამიანებს ისეთი პაროლის აღდგენისკენ აგზავნის, რაც ვერასოდეს დაეხმარება.

წაიკითხეთ მოთხოვნა, სანამ რამეს აღადგენთ. ანგარიშის პაროლის აღდგენა არაფერს აკეთებს დავიწყებული გასაღების ფრაზისთვის, გაუქმებული ან ვადაგასული სერტიფიკატისთვის, ხოლო პაროლის აღდგენა მაშინ, როცა ხარვეზი სერტიფიკატის შემოწმებაა, ორწუთიან შესწორებას მხარდაჭერის საქმედ აქცევს. თუ საჩივარი მოქმედების თარიღებს ახსენებს, ჯერ მოწყობილობის საათი შეამოწმეთ, შემდეგ კი დასახელებული სერტიფიკატის საკუთარი ფანჯარა.

როცა სერტიფიკატი ნამდვილად ვადაგასულია, ჩანაცვლება უნდა მოვიდეს მისი გამცემისგან. სხვისი გასაღები განახლების გზა არ არის, ისევე როგორც კოლეგისგან მომუშავე პროფილის სესხება.

რას ამტკიცებს სუფთა ხელის ჩამორთმევა და რას — არა

დასრულებულ TLS ხელის ჩამორთმევამდე მისვლა ნიშნავს, რომ კონფიგურირებული იდენტობის ურთიერთობა შენარჩუნდა: სერვერის სერტიფიკატი თქვენს CA-ს დაუკავშირდა და თქვენი სერტიფიკატი მიღებულ იქნა. ეს არაფერს ამბობს ოპერატორის ჟურნალირების პოლიტიკაზე და არც იმაზე, იმუშავებენ თუ არა თქვენი აპლიკაციები გვირაბის აწევის შემდეგ.

მარშრუტები და DNS კავშირის შემდგომი ეტაპებია, ამიტომ წარმატებული შესვლის შემდეგ მიუწვდომელი ინტრანეტ ჰოსტი კავშირის პრობლემაა და არა სერტიფიკატის. იმუშავეთ ამ დონეზე იმის ნაცვლად, რომ საიდენტიფიკაციო მონაცემები შეცვალოთ, და როცა პროფილს ვინმეს გადასცემთ, მისი წარმომავლობა, კერძო მასალა და იდენტობის შემოწმებები ერთად გადასცეთ.