VPN ಗಾಗಿ ಸ್ವ-ಸಹಿ ವಿರುದ್ಧ ಸಾರ್ವಜನಿಕ CA: ವಾಸ್ತವವಾಗಿ ಏನು ಬದಲಾಗುತ್ತದೆ

ನೀವು VPN ಸೆಟಪ್ನ ಪ್ರಮಾಣಪತ್ರ ಪುಟವನ್ನು ತಲುಪುತ್ತೀರಿ, ಉಚಿತ ಸ್ವ-ಸಹಿ ಆಯ್ಕೆಯನ್ನು ಪಾವತಿಸಿದ ಸಾರ್ವಜನಿಕ CA ಪಕ್ಕದಲ್ಲಿ ನೋಡುತ್ತೀರಿ, ಮತ್ತು ಪ್ರಶ್ನೆ ಭದ್ರತಾ ಆಯ್ಕೆಯಂತೆ ಕೇಳುತ್ತದೆ. ಇದು ವಾಸ್ತವವಾಗಿ ಪ್ರೇಕ್ಷಕರ ಆಯ್ಕೆ. ಎರಡೂ ಆಯ್ಕೆಗಳು ಸುರಂಗವನ್ನು ಒಂದೇ ಮೂಲ ಅಂಶಗಳಿಂದ ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡುತ್ತವೆ, ಮತ್ತು ಖಾಸಗಿ ಕೀ ಸೋರಿಕೆಯಾದರೆ ಎರಡೂ ನಿರುಪಯುಕ್ತವಾಗುತ್ತವೆ. ಅವುಗಳನ್ನು ಬೇರ್ಪಡಿಸುವುದು ಯಾವುದೆಂದರೆ ಸರ್ವರ್ನ ಗುರುತಿನ ಬಗ್ಗೆ ಯಾರು ಹೇಳಿಕೆ ನೀಡುತ್ತಾರೆ ಮತ್ತು ಆ ಹೇಳಿಕೆಯನ್ನು ಪರಿಶೀಲಿಸುವ ಸ್ಥಾನದಲ್ಲಿ ಯಾರಿದ್ದಾರೆ.

ಪ್ರಮಾಣಪತ್ರವು ಗೊಂದಲಕ್ಕೀಡಾಗುವ ಎರಡು ಕೆಲಸಗಳನ್ನು ಮಾಡುತ್ತದೆ

ಪ್ರಮಾಣಪತ್ರವು ಸಾರ್ವಜನಿಕ ಕೀಯನ್ನು ಹೆಸರಿಗೆ ಬಂಧಿಸುತ್ತದೆ, ಮತ್ತು ಕೀ ಎನ್ಕ್ರಿಪ್ಷನ್ ಮತ್ತು ಸಹಿ ಕೆಲಸವನ್ನು ಮಾಡುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರದ ಮೇಲಿನ ಸಹಿ ಪ್ರತ್ಯೇಕ ಹೇಳಿಕೆ: ಯಾವುದೋ ಪ್ರಾಧಿಕಾರವು ಹೆಸರು ಈ ಕೀ ಹೊಂದಿರುವವರಿಗೆ ಸೇರಿದೆ ಎಂದು ಪರಿಶೀಲಿಸಿದೆ. ಸ್ವ-ಸಹಿ ಪ್ರಮಾಣಪತ್ರವು ಆ ಹೇಳಿಕೆಯನ್ನು ತನ್ನ ಬಗ್ಗೆ ತಾನೇ ನೀಡುತ್ತದೆ, ಇದು ಮೂರನೇ ಪಕ್ಷದ ಹೇಳಿಕೆಯೇ ಅಲ್ಲ.

ಸಾರ್ವಜನಿಕ ವೆಬ್ಸೈಟ್ಗಳಿಗೆ ಮೂರನೇ ಪಕ್ಷದ ಆವೃತ್ತಿ ಬೇಕು, ಏಕೆಂದರೆ ಸಂದರ್ಶಕರು ಯಾವುದೇ ಪೂರ್ವ ಸಂಬಂಧವಿಲ್ಲದೆ ಬರುತ್ತಾರೆ ಮತ್ತು ಬ್ರೌಸರ್ನ ವಿಶ್ವಾಸ ಸಂಗ್ರಹವನ್ನು ಅವಲಂಬಿಸುತ್ತಾರೆ. VPN ಕ್ಲೈಂಟ್ ಅಪರಿಚಿತನಲ್ಲ. ನೀವು ಅದಕ್ಕೆ CA ಪ್ರಮಾಣಪತ್ರವನ್ನು ನೀಡುತ್ತೀರಿ, ಅಥವಾ ಅದು ಸ್ಥಾಪಿಸುವ ಪ್ರೊಫೈಲ್ನ ಒಳಗೆ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪಿನ್ ಮಾಡುತ್ತೀರಿ, ಆದ್ದರಿಂದ ಪರಿಶೀಲನೆ ನಿಖರವಾಗಿ ನೀವು ಆಯ್ಕೆ ಮಾಡಿದ ಪ್ರಾಧಿಕಾರದ ವಿರುದ್ಧ ನಡೆಯುತ್ತದೆ. ಆ ಪರಿಶೀಲನೆಗೆ ಅರ್ಥವಿರಲು ಯಾವುದೇ ವಾಣಿಜ್ಯ CA ಒಳಗೊಂಡಿರಬೇಕಿಲ್ಲ.

ಪರಿಣಾಮವಾಗಿ ಸಿಗುವ ಸೆಷನ್ನ ಶಕ್ತಿ ಕೀಯ ಗಾತ್ರ ಮತ್ತು ಸೈಫರ್ ಸೂಟ್ನಿಂದ ಬರುತ್ತದೆ, ಸಹಿ ಮಾಡುವವರಿಂದ ಅಲ್ಲ. ಆದ್ದರಿಂದ ಸ್ವ-ಸಹಿ ಪ್ರಮಾಣಪತ್ರವನ್ನು "ಕಡಿಮೆ ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಲಾಗಿದೆ" ಎಂದು ಕರೆಯುವುದು ಸುಮ್ಮನೆ ತಪ್ಪು; ಅದು ಕಡಿಮೆ ವ್ಯಾಪಕವಾಗಿ ಖಾತರಿಯಾಗಿದೆ, ಅದು ಬೇರೆ ಗುಣ.

ಸಾರ್ವಜನಿಕ CA ತನ್ನ ಶುಲ್ಕವನ್ನು ಎಲ್ಲಿ ಗಳಿಸುತ್ತದೆ

ಅತ್ಯಂತ ಸ್ಪಷ್ಟ ಪ್ರಕರಣವೆಂದರೆ ನಿರ್ವಹಣಾ ಪುಟ. ಸಹೋದ್ಯೋಗಿಗಳು, ಗುತ್ತಿಗೆದಾರರು ಅಥವಾ ಸಿದ್ಧ ಪ್ರೊಫೈಲ್ ಇಲ್ಲದ ಯಾರಾದರೂ ಬ್ರೌಸರ್ ಎಚ್ಚರಿಕೆ ಇಲ್ಲದೆ VPN ಸರ್ವರ್ನ ವೆಬ್ ಇಂಟರ್ಫೇಸ್ ತೆರೆಯಬೇಕಾದರೆ, ಸಾರ್ವಜನಿಕವಾಗಿ ವಿಶ್ವಾಸಾರ್ಹ ಪ್ರಮಾಣಪತ್ರ ಆ ಘರ್ಷಣೆಯನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ. ಬ್ರೌಸರ್ ಈಗಾಗಲೇ ಸಹಿ ಮಾಡುವವರನ್ನು ನಂಬುತ್ತದೆ, ಆದ್ದರಿಂದ ಆಮದು ಮಾಡಲು ಏನೂ ಇಲ್ಲ ಮತ್ತು ವಿವರಿಸಲು ಏನೂ ಇಲ್ಲ.

ಆ ಅನುಕೂಲಕ್ಕೆ ಖರೀದಿಸುವ ಮೊದಲು ಹೆಸರಿಸಲು ಯೋಗ್ಯವಾದ ವೆಚ್ಚಗಳಿವೆ. ನವೀಕರಣ ಸ್ವಯಂಚಾಲಿತವಾಗಿರಬೇಕು ಇಲ್ಲದಿದ್ದರೆ ಸೈಟ್ ವೇಳಾಪಟ್ಟಿಯಂತೆ ಮುರಿದುಬೀಳುತ್ತದೆ, ಸಾರ್ವಜನಿಕ ಪ್ರಮಾಣಪತ್ರಗಳು ಪ್ರಮಾಣಪತ್ರ ಪಾರದರ್ಶಕತೆ ಲಾಗ್ಗಳಲ್ಲಿ ಹೋಸ್ಟ್ನಾಮ್ ಅನ್ನು ಬಹಿರಂಗಪಡಿಸುತ್ತವೆ, ಮತ್ತು ನೀಡುವ ದರ ಮಿತಿಗಳು ಹೆಚ್ಚು ಉತ್ಸಾಹದಿಂದ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸುವ ಸ್ಕ್ರಿಪ್ಟ್ಗೆ ದಂಡ ವಿಧಿಸುತ್ತವೆ. ಇವುಗಳಲ್ಲಿ ಯಾವುದೂ ಸಾರ್ವಜನಿಕ CA ತಪ್ಪಿಸಲು ಕಾರಣವಲ್ಲ, ಆದರೆ ಇದು ಖಾಸಗಿ CA ಬೇರೆಡೆಗೆ ಸ್ಥಳಾಂತರಿಸುವ ಕಾರ್ಯಾಚರಣಾ ಕೆಲಸ.

ಸಾರ್ವಜನಿಕ ಪ್ರಮಾಣಪತ್ರ ಮಾಡದಿರುವುದು ನಿಮ್ಮ ಬಳಕೆದಾರರ ದೃಢೀಕರಣ. ಕ್ಲೈಂಟ್ ಗುರುತು ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರ, ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳು, ಪಾಸ್ವರ್ಡ್ಗಳು ಅಥವಾ ಎರಡನೇ ಅಂಶದಿಂದ ತೆಗೆದುಕೊಳ್ಳಲಾಗುತ್ತದೆ, ಮತ್ತು ಸರ್ವರ್ಗೆ ಸಹಿ ಮಾಡುವ CA ಅದಕ್ಕೆ ಯಾರು ಸಂಪರ್ಕಿಸಬಹುದು ಎಂಬುದರ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ.

ಖಾಸಗಿ CA VPNಗೆ ಎಲ್ಲಿ ಹೊಂದುತ್ತದೆ

ತಿಳಿದಿರುವ ಕ್ಲೈಂಟ್ ಗುಂಪನ್ನು ಹೊಂದಿರುವ ಖಾಸಗಿ VPNಗೆ ನಿಮ್ಮದೇ CA ನಡೆಸುವುದು ಸಾಂಪ್ರದಾಯಿಕ ಆಯ್ಕೆ. ನೀವು CA ಅನ್ನು ಒಮ್ಮೆ ರಚಿಸುತ್ತೀರಿ, ಕ್ಲೈಂಟ್ಗಳು ಬಳಸುವ ಹೆಸರಿನಿಂದ ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಸಹಿ ಮಾಡುತ್ತೀರಿ, ಮತ್ತು ಪ್ರತಿ ಪ್ರೊಫೈಲ್ನ ಒಳಗೆ CA ಪ್ರಮಾಣಪತ್ರವನ್ನು ವಿತರಿಸುತ್ತೀರಿ. ನಂತರ ಪ್ರತಿ ಕ್ಲೈಂಟ್ ನಿಮ್ಮ ಪ್ರಾಧಿಕಾರದ ವಿರುದ್ಧ ಸರ್ವರ್ ಅನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ, ಮತ್ತು ಯಾವುದೇ ಬಾಹ್ಯ ಪಕ್ಷ ಹೋಸ್ಟ್ನಾಮ್ ತಿಳಿಯುವುದಿಲ್ಲ.

ವೆಚ್ಚಗಳು ನಿಜವಾದರೂ ಸೀಮಿತ. ಯಾರಾದರೂ ನಿರ್ವಹಣಾ ಪುಟವನ್ನು ನೇರವಾಗಿ ತೆರೆದಾಗ ಬ್ರೌಸರ್ಗಳು ಎಚ್ಚರಿಕೆ ನೀಡುತ್ತವೆ, ಏಕೆಂದರೆ ನಿಮ್ಮ CA ಅನ್ನು ನಂಬಲು ಬ್ರೌಸರ್ಗೆ ಯಾವುದೇ ಕಾರಣವಿಲ್ಲ. ಪ್ರೊಫೈಲ್ ವಿತರಣೆ ಆನ್ಬೋರ್ಡಿಂಗ್ನ ಭಾಗವಾಗುತ್ತದೆ, ಮತ್ತು CA ತಿರುಗಿಸುವುದು ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಅನ್ನು ಸ್ಪರ್ಶಿಸುವುದನ್ನು ಅರ್ಥೈಸುತ್ತದೆ. ಹತ್ತು ಅಥವಾ ಐವತ್ತು ತಿಳಿದಿರುವ ಬಳಕೆದಾರರ ಸೇವೆಗೆ ಇವು ಸ್ವೀಕಾರಾರ್ಹ ಬೆಲೆಗಳು ಮತ್ತು ಸಾವಿರಾರು ಜನರ ಸಾರ್ವಜನಿಕ ಎಂಡ್ಪಾಯಿಂಟ್ಗೆ ನೋವಿನ ಸಂಗತಿ.

ಒಂದು ಷರತ್ತು ಇಡೀ ವ್ಯವಸ್ಥೆಯನ್ನು ಮಾನ್ಯಗೊಳಿಸುತ್ತದೆ: ಪರಿಶೀಲನೆ ನಡೆಯಬೇಕು. ಪ್ರಮಾಣಪತ್ರ ದೋಷಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸಲು ಸಂರಚಿಸಲಾದ ಕ್ಲೈಂಟ್ ಯಾವುದೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುವ ಯಾವುದೇ ಸರ್ವರ್ ಅನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಎನ್ಕ್ರಿಪ್ಷನ್ ಉಳಿದರೂ ಗುರುತಿನ ಖಾತರಿ ಕಣ್ಮರೆಯಾಗುತ್ತದೆ. ಆ ಸೆಟ್ಟಿಂಗ್ "ಸ್ವ-ಸಹಿ ಅಸುರಕ್ಷಿತ" ಕಥೆಗಳ ಹೆಚ್ಚಿನ ಭಾಗದಲ್ಲಿ ನಿಜವಾದ ದೌರ್ಬಲ್ಯ.

CA ಯ ಖಾಸಗಿ ಕೀ ನಂತರ ನೀವು ಏನು ಮಾಡಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ

ಆಶ್ಚರ್ಯ ಸಾಮಾನ್ಯವಾಗಿ ತಿಂಗಳುಗಳ ನಂತರ, ನೀವು ಸಾಧನ ಸೇರಿಸಲು ಬಯಸಿದಾಗ ಬರುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ನೀಡಲು CA ಯ ಖಾಸಗಿ ಕೀ ಅಗತ್ಯ, ಮತ್ತು ರದ್ದತಿ ಪಟ್ಟಿ ತಯಾರಿಸಲು ಸಹ. ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಕೀ ಫೈಲ್ಗಳನ್ನು ಹೊಂದಿದ್ದು CA ಕೀ ಇಲ್ಲದ ಸರ್ವರ್ ಅನ್ನು ನೀವು ವಾರಸುದಾರರಾಗಿ ಪಡೆದರೆ, ಹೊಸದನ್ನು ಏನನ್ನೂ ಸಹಿ ಮಾಡಲಾಗುವುದಿಲ್ಲ. ನಿಮ್ಮ ಆಯ್ಕೆಗಳು PKI ಮರುನಿರ್ಮಿಸಿ ಪ್ರತಿ ಕ್ಲೈಂಟ್ಗೆ ಹೊಸ CA ಪ್ರಮಾಣಪತ್ರ ನೀಡುವುದು, ಅಥವಾ ಪಾಸ್ವರ್ಡ್ ದೃಢೀಕರಣಕ್ಕೆ ಬದಲಾಗುವುದು; ಅದು ಬೇರೆ ಭದ್ರತಾ ಮಾದರಿ ಮತ್ತು ಕಳೆದುಹೋದದ್ದನ್ನು ಮರಳಿ ತರುವುದಿಲ್ಲ.

ಅದೇ ಪ್ರದೇಶದಲ್ಲಿ ಎರಡು ಸಣ್ಣ ಬಲೆಗಳಿವೆ. easy-rsa ಸ್ಕ್ರಿಪ್ಟ್ಗಳು ಅವನ್ನು ಹೊಂದಿರುವ ಡೈರೆಕ್ಟರಿಯಲ್ಲಿ ನೀವು ನಿಂತಿದ್ದೀರಿ ಎಂದು ಊಹಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಕಾಣೆಯಾದ ಫೈಲ್ ದೋಷ ಸಾಮಾನ್ಯವಾಗಿ ತಪ್ಪು ಸ್ಥಳವನ್ನು ಸೂಚಿಸುತ್ತದೆ, ಹಾಳಾದ ಸ್ಥಾಪನೆಯನ್ನಲ್ಲ. ಮತ್ತು ಪ್ರಮಾಣಪತ್ರಗಳಿಗೆ ಮಾತ್ರ ಸೀಮಿತವಾದ ವಿನ್ಯಾಸ ಸಂಪೂರ್ಣವಾಗಿ ಕಾನೂನುಬದ್ಧ: ಮೊದಲೇ ಹಂಚಿದ ಕೀ ಇಲ್ಲದೆ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಕೇಳಬಹುದು, ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಒಂದನ್ನು ಹೊಂದಿದ್ದರೆ ಮತ್ತು ಸರ್ವರ್ ಸರಪಳಿಯನ್ನು ಪರಿಶೀಲಿಸಿದರೆ.

ಇಡೀ ತಂಡಕ್ಕೆ ಒಂದು ಹಂಚಿದ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರದ ಬದಲು ಪ್ರತಿ ಸಾಧನಕ್ಕೆ ಒಂದು ಪ್ರಮಾಣಪತ್ರ ನೀಡಿ. ಆಗ ಕಳೆದುಹೋದ ಲ್ಯಾಪ್ಟಾಪ್ ನಿಮಗೆ ಎಲ್ಲರಿಗೂ ಮರುನೀಡುವ ಬದಲು ಒಂದೇ ರದ್ದತಿಗೆ ಖರ್ಚಾಗುತ್ತದೆ.

ನೀವು ಏನು ವಾರಸುದಾರರಾಗಿ ಪಡೆದಿದ್ದೀರಿ ಎಂದು ಪರಿಶೀಲಿಸಿ

ಯಾವುದೇ ಬದಲಾವಣೆಯನ್ನು ಯೋಜಿಸುವ ಮೊದಲು, ನಿಮ್ಮ ಬಳಿ ಈಗಾಗಲೇ ಇರುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಓದಿ:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

ನೀಡುವವರು ವಿಷಯಕ್ಕೆ ಸಮನಾಗಿದ್ದರೆ, ಪ್ರಮಾಣಪತ್ರ ಸ್ವ-ಸಹಿ, ಅದು ವಿನ್ಯಾಸದ ಆಯ್ಕೆ, ದೋಷವಲ್ಲ. ದಿನಾಂಕಗಳು ನವೀಕರಣ ಯಾವಾಗ ಯಾರಿಗೋ ಸಮಸ್ಯೆಯಾಗುತ್ತದೆ ಎಂದು ಹೇಳುತ್ತವೆ, ಮತ್ತು ನೀವು ಕಳುಹಿಸಲು ಉದ್ದೇಶಿಸಿರುವ CA ವಿರುದ್ಧ ಯಶಸ್ವಿ ಪರಿಶೀಲನೆ ಒಂದು ಕ್ಲೈಂಟ್ ಪ್ರಯತ್ನಿಸುವ ಮೊದಲೇ ಸರಪಳಿ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸುತ್ತದೆ.

ನಂತರ ಪ್ರೇಕ್ಷಕರು ಮತ್ತು ವಿತರಣೆಯ ಪ್ರಕಾರ ಆಯ್ಕೆ ಮಾಡಿ: ಅಪರಿಚಿತ ಬ್ರೌಸರ್ಗಳು ನಿರ್ವಹಣಾ ಪುಟವನ್ನು ನಂಬಬೇಕಾದರೆ ಸಾರ್ವಜನಿಕ CA, ಪ್ರತಿ ಕ್ಲೈಂಟ್ ನೀವು ನಿಯಂತ್ರಿಸುವ ಪ್ರೊಫೈಲ್ ಪಡೆದರೆ ಖಾಸಗಿ CA. ಎರಡೂ ಉತ್ತರಗಳಲ್ಲಿ ಒಂದು ಇನ್ನೊಂದಕ್ಕಿಂತ ಹೆಚ್ಚು ಎನ್ಕ್ರಿಪ್ಟ್ ಆಗಿಲ್ಲ.