რატომ აფუჭებს ca.key-ის ყველა VPN კლიენტზე კოპირება CA-ს
კლიენტი ამოწმებს CA-ის საჯარო სერტიფიკატს; მას არასდროს სჭირდება გასაღები, რომელიც ხელს აწერს. ca.key-ის ყველა მოწყობილობაზე კოპირება გაცემის უფლებას აძლევს ყველას, ვინც ერთ ასლს აიღებს.
სადღაც ინსტალაციის ინსტრუქციაში მთელი დირექტორია მთლიანად კოპირდება ყველა ლეპტოპზე, რადგან ეს უფრო ადვილი იყო, ვიდრე გადაწყვეტილება, რომელი ფაილები ეკუთვნის იქ. ამ დირექტორიაში არის ca.key, და იმ წუთს, როცა ის მეორე მოწყობილობას მიაღწევს, სერტიფიკატის ორგანო წყვეტს ორგანო ყოფნას. ახლა ნებისმიერ მფლობელს შეუძლია გასცეს იდენტობები, რომლებსაც ქსელის დანარჩენი ნაწილი ენდობა.
ღირს ამ გაუგებრობის ერთხელ გარჩევა, რადგან ორი ფაილი მსგავსად გამოიყურება და საპირისპირო რამეს აკეთებს.
შემოწმების მასალა და ხელმოწერის მასალა
კლიენტს სჭირდება CA-ის საჯარო სერტიფიკატი იმის შესამოწმებლად, რომ მეორე მხარის მიერ წარდგენილი სერტიფიკატი ამ ორგანომ მოაწერა ხელი. ეს შემოწმების საქმეა და საერთოდ არ საჭიროებს საიდუმლოს. მეორე მხარის სერტიფიკატზე ხელის მოწერა სხვა საქმეა, რომელსაც ერთხელ ასრულებს ის, ვინც CA-ს მართავს, პირადი გასაღებით, რომელიც არასდროს ტოვებს თავის დაცულ საცავს. ამ ორი საქმის განცალკევება ორი ფაილის გაგზავნის მთელი აზრია.
ამიტომ ca.crt პროფილს ეკუთვნის, ხოლო ca.key მის ახლოს არსად არ ეკუთვნის. ფაილების სახელები შეთანხმებაა და არა გარანტია, ამიტომ ტიპი უნდა შემოწმდეს და არა სახელიდან დავასკვნათ.
არქიტექტურა შუამავალი CA-ით ან ონლაინ გაცემის სერვისით არ არის გამონაკლისი. ეს არის სტანდარტული გზა, რომ ხელმოწერის უნარი დისტანცირებული იყოს ბოლო წერტილებისგან და მოწყობილობათა სერტიფიკატები მასშტაბურად გაიცეს.
რა უნდა დაამტკიცოს კლიენტმა საკუთარი გასაღებით
თითოეული მოწყობილობა იღებს საკუთარ წყვილ გასაღებს და საკუთარ სერტიფიკატს, რომელსაც CA ერთხელ აწერს ხელს. კლიენტი წარადგენს ამ სერტიფიკატს და ამტკიცებს შესაბამისი პირადი გასაღების ფლობას, ხოლო სერვერი წყვეტს, მიიღოს თუ არა. ეს არის ის იდენტობა, რომელიც უქმდება ლეპტოპის დაკარგვისას.
კონტრასტი ყველაზე მეტად ქურდობის შემდეგ მნიშვნელოვანია. თითო მოწყობილობის იდენტობით, ერთი გამოვლენილი კლიენტი მოშორდება გაუქმებით ან მეორე მხარის წაშლით, და დანარჩენი ფლოტი აგრძელებს მუშაობას.
გაჟონილი ორგანოს გასაღები ასე ვერ მოექცევა. ყოველი სერტიფიკატი, რომელსაც ოდესმე მოაწერა ან შეეძლო მოეწერა, საეჭვო ხდება, ამიტომ პასუხია ნდობის შეცვლა და არა ერთი გაუქმება. ეს პროექტია და არა ბილეთი.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
წაიკითხეთ ფაილი, სანამ სადმე დააკოპირებთ
ორი ბრძანება გითხრათ, როგორი ობიექტი გიჭირავთ ხელში, ყოველგვარი საიდუმლოს ამობეჭდვის გარეშე. პირველი ასახელებს სუბიექტს და CA-ის დროშას სერტიფიკატზე; მეორე ამოწმებს გასაღებს და აცნობს მის ტიპს. გაუშვით ორივე იმ პაკეტის ფაილებზე, რომლის გავრცელებასაც აპირებთ. ყველაფერი, რაც პირად გასაღებად დადასტურდება, კლიენტის დირექტორიაში არ უნდა იყოს.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
თუ მეორე ბრძანება წარმატებით შესრულდება კლიენტის პაკეტში მყოფ ფაილზე, გაჩერდით და პაკეტი კომპრომეტირებულად ჩათვალეთ. გამონატანი, რომელიც ამბობს, რომ გასაღები ვალიდურია, ასევე ამბობს, რომ ის არსებობს, და სწორედ არსებობაა მთელი პრობლემა.
ყურადღება მიაქციეთ საპირისპირო მიმართულებასაც: კლიენტის პროფილი კანონიერად შეიცავს ამ კლიენტის საკუთარ პირად გასაღებს. ყველა ნაპოვნი გასაღების წაშლა წყვეტს კავშირს, არაფერს აუმჯობესებს, ამიტომ ობიექტი უნდა იქნას იდენტიფიცირებული წაშლამდე.
უკვე გავრცელებული გასაღების შეზღუდვა
ნუ ჩათვლით, რომ ლოკალური ასლის წაშლა აბრუნებს გამჟღავნებას. ვისაც ფაილი ჰქონდა, შეეძლო მისი კოპირება, და უსაფრთხო ვარაუდია, რომ დააკოპირა. მიჰყევით ოპერატორის ინციდენტის პროცედურას და შეცვალეთ ნდობის საყრდენი, ხელახლა გასცეთ მოწყობილობათა სერტიფიკატები ახალი CA-ის ქვეშ.
შემდეგ შეცვალეთ შეფუთვა, რომელმაც პრობლემა შექმნა. გაგზავნეთ დირექტორიის სია ფაილების მკაფიო ნებადართული სიით, შეინახეთ CA-ის გასაღები მანქანაზე, რომელიც არასდროს უერთდება კლიენტთა ფლოტს, და ჩაწერეთ, რომელი სისტემა ინახავს მას.
თუ ორგანოს ხშირად უნდა გასცეს, გადაიტანეთ ხელმოწერა სერვისის ან ვიწრო არეალის და მოკლე მოქმედების შუამავალი ორგანოს უკან. ასე მომავალი შეცდომა გამოაშკარავებს გაცემის ნაწილს და არა მთელი განლაგების ნდობის ფესვს.