ca.key файлын әр VPN клиентіне көшіру CA-ны неге бұзады
Клиент CA-ның ашық сертификатын тексереді; оған қол қоятын кілт ешқашан қажет емес. ca.key файлын әр құрылғыға көшіру бір көшірме алған кез келген адамға шығару өкілеттігін береді.
Орнату нұсқаулығының бір жерінде қай файлдардың сол жерге жататынын шешуден гөрі оңай болғандықтан, тұтас каталог әр ноутбукке толық көшіріледі. Сол каталогта ca.key бар, және ол екінші құрылғыға жеткен сәтте сертификат органы орган болудан қалады. Енді кез келген ұстаушы желінің қалған бөлігі сенетін жеке басын шығара алады.
Бұл шатасуды бір рет тарқатқан жөн, өйткені екі файл сырттай ұқсас, іс жүзінде қарама-қарсы әрекет етеді.
Тексеру материалы және қол қою материалы
Клиентке қарсы тарап ұсынған сертификаттың сол органмен қол қойылғанын тексеру үшін CA-ның ашық сертификаты қажет. Бұл тексеру жұмысы және мүлде құпияны қажет етпейді. Қарсы тараптың сертификатына қол қою – басқа жұмыс, оны CA-ны басқаратын адам бір рет, өзінің қорғалған қоймасынан ешқашан шықпайтын жеке кілтпен орындайды. Осы екі жұмысты бөлек ұстау – екі файл жіберудің бүкіл мәні.
Сондықтан ca.crt профильге жатады, ал ca.key оған жақын ешбір жерге жатпайды. Файл атаулары – шарттылық, кепілдік емес, сондықтан түрін атаудан болжамай, тексеру керек.
Аралық CA немесе онлайн шығару қызметі бар сәулет бұған ерекшелік емес. Бұл құрылғы сертификаттарын ауқымды шығара отырып, қол қою қабілетін соңғы нүктелерден алыс ұстаудың стандартты жолы.
Клиент өз кілтімен нені дәлелдеуі керек
Әр құрылғы өз кілт жұбын және өз сертификатын алады, оған CA бір рет қол қояды. Клиент сол сертификатты ұсынып, сәйкес жеке кілтке ие екенін дәлелдейді, ал сервер оны қабылдау-қабылдамауды шешеді. Ноутбук жоғалғанда кері қайтарылатын жеке бас – осы.
Бұл айырмашылық ұрлықтан кейін барынша маңызды. Әр құрылғыға бөлек жеке бас болса, ашылған бір клиент кері қайтару немесе қарсы тарапты жою арқылы алынады, ал флоттың қалғаны жұмысын жалғастырады.
Сызған орган кілтін бұлай басқару мүмкін емес. Ол қашан да болсын қол қойған немесе қоя алатын әрбір сертификат күмәнді болады, сондықтан жауап – жалғыз кері қайтару емес, сенімді ауыстыру. Бұл жоба, билет емес.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Файлды бір жерге көшірмес бұрын оқыңыз
Екі команда ешбір құпияны басып шығармай-ақ қолыңызда қандай нысан бар екенін айтады. Біріншісі сертификаттағы субъектіні және CA жалаушасын атайды; екіншісі кілтті тексереді және оның түрін хабарлайды. Екеуін де тарататын бумаңыздағы файлдарға қолданыңыз. Жеке кілт ретінде расталғанның бәрі клиент каталогына жатпайды.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Егер екінші команда клиент бумасында жатқан файлда сәтті орындалса, тоқтап, буманы бұзылған деп есептеңіз. Кілт жарамды деген шығыс оның барын да айтады, ал бары – бүкіл мәселе.
Қарсы бағытқа да назар аударыңыз: клиент профилінде сол клиенттің өз жеке кілті заңды түрде болады. Тапқан әр кілтті жою ештеңені жақсартпай байланысты үзеді, сондықтан нысанды жою алдында анықтау керек.
Бұрын таратқан кілтті шектеу
Жергілікті көшірмені жою әшкереленуді кері қайтарады деп ойламаңыз. Файл болған кез келген адам оны көшіруі мүмкін еді, ал қауіпсіз болжам – көшірді. Оператордың оқиға тәртібін ұстаныңыз және сенім тірегін ауыстырыңыз, құрылғы сертификаттарын жаңа CA астында қайта шығарып.
Содан кейін мәселені тудырған буып-түюді өзгертіңіз. Файлдардың айқын рұқсат тізімімен каталог тізімін жіберіңіз, CA кілтін клиент флотына ешқашан қосылмайтын машинада ұстаңыз, және оны қай жүйе сақтайтынын жазып қойыңыз.
Егер орган жиі шығаруы керек болса, қол қоюды тар аялы және қысқа мерзімді қызметтің немесе аралық органның артына жылжытыңыз. Осылайша болашақ қате бүкіл орнатудың сенім тамырын емес, шығарудың бір бөлігін әшкерелейді.