CA жоқ OpenVPN: peer-fingerprint серіктестерді қалай тексереді
Саусақ ізі бір сертификатты бекітеді, ортақ құпияны емес. Дайджест нені қамтитынын, әр жақ өз рұқсат тізімін қалай құратынын және жаңарту қанша тұратынын қараңыз.
Шағын орналастыру саусақ іздеріне жүгінеді, өйткені сертификат органы ешкімнің басқаруға уақыты жоқ инфрақұрылымға ұқсайды. Түйсік орынды, бірақ адамдар оның орнына таңдайтын қысқа жол—деректер арнасының бір құпиясын екі ұшқа көшіру—ондай емес. peer-fingerprint конфигурациясы TLS құрылымын бүлінбей сақтайды: әр жақ әлі де өз жеке кілті мен сертификатын ұстайды, және әр жақ әлі де екіншісін тексереді. Өзгеретіні—тексерудің қайда бекітілгені: сенімді шығарушыдан бекітілген дайджесттердің қысқа тізіміне. Дайджест атауды емес, бүкіл сертификатты қамтитындықтан, жаңарту шынымен уақыт алатын операцияға айналады.
Саусақ ізі нақты нені мойнына алады
Сертификаттың саусақ ізі — DER-мен кодталған бүкіл сертификаттың дайджесті, оның ашық кілтінің де, субъект атауының да емес. Сондықтан аттары бірдей және кілті бірдей, бірақ жарамдылық мерзімдері әртүрлі екі сертификаттың саусақ іздері әртүрлі болады. Дәл осы бекітуді дәл етеді және осы жаңартуды кедергілі етеді. Бекіту кілтке жалпы сенуді білдіре алмайды, өйткені ол бір артефактіні оның өмірінің бір сәтінде атайды. Дайджестті кез келген біле алады, және оны білу өздігінен ештеңе дәлелдемейді.
openssl x509 -in server.crt -noout -fingerprint -sha256
openssl x509 -in client-07.crt -noout -fingerprint -sha256Сәйкес жеке кілтке ие болу—серіктестің сол сертификатқа ие екенін дәлелдейтін нәрсе, ал дайджест—екінші жақтың сол сертификатты әуелде күткен-күтпегенін шешетін тәсіл. Осы бөліну осы дизайнның ескі ортақ-құпия тәртібі болмауының себебі: ортақ кілт бірдей байттарды білетін кез келгенді аутентификациялайды, ал бекіту бір сертификатты аутентификациялайды. Басқа құрылғы сол құпияның көшірмесін емес, өз жазбасын алады, бұл файлдарда шағын, ал залал ауқымында үлкен айырма.
Карта өзара, симметриялы емес
Әр соңғы нүктеге екі нәрсе керек: өз жеке кілті сертификатымен бірге, және қандай серіктес сертификаттарын қабылдайтыны туралы мәлімдеме. Клиентте бұл мәлімдеме—сервер сертификатының дайджесті; серверде—тіркелген клиент дайджесттерінің тізімі. Community 2.6 үшін шағын конфигурацияның ресми мысалы peer-fingerprint-мен орналасуды көрсетеді, және нақты орналастыру үшін осы сенім моделін таңдамас бұрын оны оқыған жөн. Екі бағыт—бір төңкерілген тізім емес, және олар бір сәтте істен шықпайды.
| Verification direction | What is pinned | What never leaves that endpoint | How a wrong pin shows up |
|---|---|---|---|
| Client checks the server | One digest, for the server certificate | The server private key | The client aborts during the TLS handshake |
| Server checks the client | A digest per enrolled client | Each client private key | The server rejects the peer before a tunnel exists |
Құрылғы қосу сервердегі рұқсат тізімін өңдейді, бар клиенттің жеке материалын көшірмей және сервер кілтін еш жерге жылжытпай. Екі бағыт та тәуелсіз түрде істен шығады, бұл диагностика кезінде пайдалы: қай жақ қол алысуды жапса, сол жақтың күтуі орындалмаған. Егер клиент серверді қабылдамаса, дайджест ұсынылған сертификатқа сай келмейді. Егер сервер клиентті қабылдамаса, сол клиенттің дайджесті тізімде жоқ, немесе клиент тіркелгеннен басқа сертификат ұсынып тұр.
Тіркеу: жаңа құрылғы қалай қосылады
Жаңа құрылғының кілті мен сертификатын жеке кілт тұратын жерде жасаңыз, содан кейін тек ашық артефактіні оны бекітуі керек жаққа жылжытыңыз. Күтілетін дайджестті сіз бұрыннан сенетін арна арқылы жеткізіңіз, және таныс көрінетін атаудың орнына толық сертификатты салыстырыңыз. Сертификатпен бірдей тексерілмеген жүктеуден көшірілген дайджест екі файлдың бір-біріне сәйкес екенін ғана дәлелдейді. Бұл сәйкестік тексерісі, жеке басын тексеру емес, және бұл осы дизайнның әлсіреуінің ең тыныш жолы.
Серверде дайджест қосу—қалыпты менеджер арқылы өтетін және одан кейін қайта қосылу болатын конфигурация өзгерісі. Жаңа құрылғы қосылатынын және дайджесті жойылған құрылғы енді қосылмайтынын растаңыз. Тек оң жағдайды қамтитын тест рұқсат тізімін тексерілмеген күйде қалдырады, және алты айдан кейін сіз дәл осы күйде боласыз.
Жаңарту — қымбат сәт
Әр сертификат мерзімі бітеді, және кілт пен аттар өзгеріссіз қалса да жаңа сертификаттың жаңа дайджесті болады. Шығарушы астында жаңарту сол шығарушыға сенетін серіктестер үшін ашық; бекіту астында ол сертификатты бекітетін әр серіктес үшін тіркеу оқиғасы.
Мерзімнен кейін емес, оған дейін тәртіпті жоспарлаңыз. Жаңа дайджестті оны тексеретін тараптарға таратыңыз, өзгерісті қолданыңыз, және содан кейін ғана соңғы нүктедегі сертификатты ауыстырыңыз. Бұл тәртіп екі жақ қай сертификат ағымдағы екенінде келіспейтін терезе қалдырмайды. Тізімнің өзін де шолуда ұстаңыз, өйткені бекітілген тізім айлар бұрын істен шығарылған құрылғылардың жазбаларын жинақтайды. Әр ескірген жазба—кілті аман қалса, әлі де аутентификацияланатын сәйкестік, сондықтан біреуін жою тазалық емес, қауіпсіздік әрекеті.
Сенім картасы нені шешпейді
Аутентификация—бір қабат, және бекітілген карта мекенжай пулы, итерілген маршруттар, жолдың MTU немесе firewall саясаты туралы ештеңе айтпайды. Олар бөлек конфигурация және бөлек ақау режимдері болып қала береді. Аутентификациядан өтіп, ешқандай трафик өткізбейтін туннель—ешқашан көтерілмейтін туннельден басқа зерттеу.
Карта да шексіз масштабталмайды, және үлкенірек орналастырулар шығарушыға негізделген PKI-ге келеді. Бұл таңдау криптография емес, операция туралы, өйткені флот өскен сайын әр серіктестегі тізімді өңдеуден гөрі бір орган арқылы сәйкестіктерді қосу мен шығару арзанырақ. Клиент іске асырылуы бұл опцияны қолдамайтын жерде жауап—сол клиент құжаттайтын үйлесімді сенім моделі немесе қолдау көрсетілетін балама. Тексеру ескертуін басу бұл қолдауды қоспайды, және дизайнның бүкіл құндылығы тексерудің әлі де орын алуында.