VPN үшін өзіндік қолтаңба қойылған және ашық CA: шын мәнінде не өзгереді

Сіз VPN конфигурациясының сертификаттар бетіне келесіз, тегін өзіндік қолтаңба қойылған нұсқаны ақылы ашық CA жанында көресіз, және сұрақ қауіпсіздік таңдауы сияқты естіледі. Бұл шын мәнінде аудитория таңдауы. Екі нұсқа да туннельді бірдей криптографиялық негіздермен шифрлайды, және жеке кілт тарап кетсе, екеуі де құнсыз болады. Оларды бөлетін нәрсе — сервердің жеке басы туралы мәлімдемені кім жасайтыны және сол мәлімдемені тексеруге кімнің мүмкіндігі бар екені.

Сертификат шатастырылатын екі жұмыс атқарады

Сертификат ашық кілтті атауға байланыстырады, ал кілт шифрлау мен қол қою жұмысын атқарады. Сертификаттағы қолтаңба — бөлек мәлімдеме: қандай да бір орган бұл атаудың осы кілт иесіне тиесілі екенін тексерген. Өзіндік қолтаңба қойылған сертификат бұл мәлімдемені өзі туралы жасайды, бұл мүлде үшінші тараптың мәлімдемесі емес.

Ашық веб-сайттарға үшінші тарап нұсқасы қажет, өйткені келушілер алдын ала қарым-қатынасқа ие болмай келеді және шолғыштың сенім қоймасына сүйенеді. VPN клиенті бөтен емес. Сіз оған CA сертификатын бересіз немесе орнататын профильдің ішінде сервер сертификатын бекітесіз, сондықтан тексеру дәл сіз таңдаған органға қарсы жүреді. Бұл тексерудің қандай да бір мәнге ие болуы үшін коммерциялық CA қатысуы міндетті емес.

Алынған сессияның күші кілт өлшемі мен шифрлау жиынтығынан келеді, қол қоюшыдан емес. Сондықтан өзіндік қолтаңба қойылған сертификатты "аз шифрланған" деп атау жай ғана қате; ол азырақ кеңінен кепілдік берілген, бұл басқа қасиет.

Ашық CA өз ақысын қайдан ақтайды

Ең айқын жағдай — әкімшілік беті. Егер әріптестер, мердігерлер немесе дайын профилі жоқ кез келген адам VPN серверінің веб-интерфейсін шолғыш ескертуінсіз ашуға мәжбүр болса, ашық түрде сенімді сертификат сол кедергіні жояды. Шолғыш қол қоюшыға әлдеқашан сенеді, сондықтан импорттайтын да, түсіндіретін де ештеңе жоқ.

Бұл ыңғайлылықтың сатып алудан бұрын атап өтуге тұрарлық шығындары бар. Жаңарту автоматтандырылуы керек, әйтпесе сайт кесте бойынша бұзылады, ашық сертификаттар сертификат ашықтығы журналдарында хост атауын ашады, және шығару жылдамдығы шектеулері тым ынталы қайталап көретін скриптті жазалайды. Олардың ешқайсысы ашық CA-дан жалтаруға себеп емес, бірақ бұл жеке CA басқа жерге ауыстыратын операциялық жұмыс.

Ашық сертификат жасамайтын нәрсе — пайдаланушыларыңызды аутентификациялау. Клиенттің жеке басы — жеке шешім, клиент сертификаттарымен, құпия сөздермен немесе екінші фактормен қабылданады, және серверге қол қоятын CA оған кімнің қосылуға құқылы екені туралы ештеңе айтпайды.

Жеке CA VPN-ге қайда сәйкес келеді

Клиенттер жиынтығы белгілі жеке VPN үшін өз CA-ңызды жүргізу — дәстүрлі таңдау. CA-ны бір рет жасайсыз, сервер сертификатына клиенттер пайдаланатын атаумен қол қоясыз және CA сертификатын әр профильдің ішінде таратасыз. Содан кейін әр клиент серверді сіздің органыңызға қарсы тексереді, және ешбір сыртқы тарап хост атауын білмейді.

Шығындар нақты, бірақ шектеулі. Біреу әкімшілік бетті тікелей ашқанда шолғыштар ескертеді, өйткені шолғыштың сіздің CA-ға сенуге ешбір себебі жоқ. Профильдерді тарату бейімдеу процесінің бөлігіне айналады, ал CA-ны айналдыру әр клиентке қол тигізуді білдіреді. Бұл он немесе елу белгілі пайдаланушысы бар қызмет үшін қолайлы бағалар және мыңдаған пайдаланушысы бар ашық соңғы нүкте үшін ауыр.

Бір шарт бүкіл құрылымды жарамды етеді: тексеру орын алуы керек. Сертификат қателерін елемеуге конфигурацияланған клиент кез келген сертификат ұсынатын кез келген серверді қабылдайды, сондықтан шифрлау қалады, ал жеке бас кепілдігі жоғалады. Сол параметр "өзіндік қолтаңба сенімсіз" әңгімелерінің көбіндегі нағыз әлсіздік.

CA-ның жеке кілті кейінірек не істей алатыныңызды шешеді

Тосын әдетте бірнеше айдан кейін, құрылғы қосқыңыз келгенде келеді. Клиент сертификатын шығару үшін CA-ның жеке кілті қажет, күшін жою тізімін жасау үшін де. Егер сертификат пен кілт файлдары бар, бірақ CA кілті жоқ серверді мұраға алсаңыз, жаңа ештеңеге қол қоя алмайсыз. Сіздің нұсқаларыңыз — PKI-ді қайта құрып, әр клиентке жаңа CA сертификатын беру немесе құпия сөзбен аутентификацияға көшу; бұл басқа қауіпсіздік моделі және жоғалғанды қайтармайды.

Сол аумақта екі кішірек тұзақ бар. easy-rsa скрипттері оларды қамтитын каталогта тұрғаныңызды болжайды, сондықтан жоқ файл қатесі әдетте бүлінген орнатуды емес, дұрыс емес орынды білдіреді. Ал тек сертификаттарға негізделген дизайн толығымен заңды: алдын ала ортақ кілтсіз клиент сертификаттарын талап ете аласыз, әр клиентте біреуі болса және сервер тізбекті тексеретін болса.

Бүкіл топ үшін бір ортақ клиент сертификатының орнына әр құрылғыға бір сертификат шығарыңыз. Сонда жоғалған ноутбук сізге бәріне қайта шығарудың орнына бір ғана күшін жоюға тұрады.

Мұраға алғаныңызды тексеріңіз

Кез келген өзгерісті жоспарламас бұрын, қолыңызда бар сертификатты оқыңыз:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Егер шығарушы субъектіге тең болса, сертификат өзіндік қолтаңба қойылған, бұл дизайн таңдауы, ақау емес. Күндер жаңарту қашан біреудің мәселесіне айналатынын айтады, ал жіберетін CA-ға қарсы сәтті тексеру тізбектің бір клиент тексермес бұрын жұмыс істейтінін растайды.

Содан кейін аудитория мен таратуға қарай таңдаңыз: белгісіз шолғыштар әкімшілік бетке сенуі керек болса ашық CA, әр клиент сіз бақылайтын профиль алса жеке CA. Екі жауаптың ешқайсысы екіншісінен гөрі көбірек шифрланбаған.