ಪರಿವರ್ತಿಸುವ ಮೊದಲು: SSH ಕೀ ಮತ್ತು OpenVPN ಪ್ರಮಾಣಪತ್ರ

ಪ್ರಮಾಣಪತ್ರ ದೋಷದಿಂದ ಆಮದು ವಿಫಲವಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಸ್ಪಷ್ಟವಾದ ಹೆಜ್ಜೆ ಪರಿವರ್ತನೆಯಂತೆ ಕಾಣುತ್ತದೆ. ಆ ಪ್ರವೃತ್ತಿ ಜನರನ್ನು ಫೈಲ್ ವಿಸ್ತರಣೆ ಬದಲಾಗುವ, ಆದರೆ ತಿರಸ್ಕಾರ ಅದೇ ರೀತಿ ಉಳಿಯುವ ದಾರಿಗೆ ಕರೆದೊಯ್ಯುತ್ತದೆ. authorized_keys ನಲ್ಲಿನ ssh-ed25519 ಸಾಲು ಮತ್ತು OpenVPN ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ಪ್ರತ್ಯೇಕ ರುಜುವಾತು ವಸ್ತುಗಳು, ಬೇರೆ ಬೇರೆ ನೀಡುವವರು, ಬೇರೆ ಬೇರೆ ಎನ್ಕೋಡಿಂಗ್ ಮತ್ತು ಬೇರೆ ಬೇರೆ ರದ್ದತಿ ಮಾರ್ಗಗಳನ್ನು ಹೊಂದಿವೆ. ಈ ಪರಿಶೀಲನೆಗಳನ್ನು ಕ್ರಮವಾಗಿ ಮಾಡಿದರೆ, ಪರಿವರ್ತನೆ ಏನಾದರೂ ಸಹಾಯ ಮಾಡಬಹುದೇ ಎಂದು ಒಂದು ನಿಮಿಷದಲ್ಲಿ ತಿಳಿಯುತ್ತದೆ.

ನಿಜವಾಗಿ ಯಾವ ವಸ್ತು ನಿಮ್ಮ ಬಳಿ ಇದೆ?

ಜನರು ಕೀ ಎಂದು ಕರೆಯುವ ಐದು ವಸ್ತುಗಳಿವೆ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಒಂದೇ ಒಂದು TLS ಪ್ರೊಫೈಲ್ ಬಯಸುವುದು. SSH ಸಾರ್ವಜನಿಕ ಕೀ ಎಂಬುದು ಪ್ರಕಾರದ ಪೂರ್ವಪ್ರತ್ಯಯ ಮತ್ತು base64 ಪೇಲೋಡ್ ಹೊಂದಿರುವ ಒಂದೇ ಸಾಲಿನ ಪಠ್ಯ. OpenSSH ಪ್ರಮಾಣಪತ್ರ ಎಂದರೆ ಆ ಕೀ ಜೊತೆಗೆ ಸಹಿ, principals ಮತ್ತು ಆಯ್ಕೆಗಳು, ಇದನ್ನು ssh-keygen ತನ್ನದೇ ಸಣ್ಣ CA ಆಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸಿ ತಯಾರಿಸುತ್ತದೆ. X.509 ಪ್ರಮಾಣಪತ್ರ ಸಂಪೂರ್ಣ ಬೇರೆ ರಚನೆ, ಅದು ವಿಷಯ, ಮಾನ್ಯತೆಯ ಅವಧಿ, ವಿಸ್ತರಣೆಗಳು ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರದ ಸಹಿಯನ್ನು ಹೊತ್ತೊಯ್ಯುತ್ತದೆ. ಖಾಸಗಿ ಕೀ ಎಂಬುದು ರಹಸ್ಯ ಅರ್ಧ, ಮತ್ತು ನೀಡಲಾದ ಬಂಡಲ್ ಸಾಮಾನ್ಯವಾಗಿ ಒಂದೇ ಫೈಲ್‌ನಲ್ಲಿ ಪ್ರಮಾಣಪತ್ರ, ಅದರ ಸರಪಳಿ ಮತ್ತು ಖಾಸಗಿ ಕೀ ಆಗಿರುತ್ತದೆ.

ಮೊದಲ ಪರೀಕ್ಷೆಗೆ ಒಂದೇ ಆಜ್ಞೆ ಸಾಕು. openssl ಅನ್ನು ಫೈಲ್‌ಗೆ ತೋರಿಸಿ, ಪ್ರಮಾಣಪತ್ರದ ರಚನೆಯನ್ನು ವಿಶ್ಲೇಷಿಸಲು ಕೇಳಿ:

openssl x509 -in client.crt -noout -subject -issuer

ಅದು unable-to-load ಅಥವಾ PEM ದೋಷದಿಂದ ವಿಫಲವಾದರೆ, ನೀವು ಯಾವ ಹೆಸರು ಕೊಟ್ಟರೂ ಆ ಫೈಲ್ X.509 ಪ್ರಮಾಣಪತ್ರವಲ್ಲ. ಹೆಸರು ಬದಲಿಸುವುದು ಒಳಗಿನ ASN.1 ಅನ್ನು ಮರುಬರೆಯುವುದಿಲ್ಲ, ಸಾರ್ವಜನಿಕ ಕೀ ಸಾಲನ್ನು PEM ಶೀರ್ಷಿಕೆ ಪಠ್ಯದಲ್ಲಿ ಸುತ್ತುವುದೂ ಅದನ್ನು ಮಾಡುವುದಿಲ್ಲ.

ಪ್ರೊಫೈಲ್ ಪ್ರಮಾಣಪತ್ರವನ್ನೇ ಕೇಳುತ್ತದೆಯೇ?

ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಗಳು ಹಲವು ದೃಢೀಕರಣ ವಿಧಾನಗಳಲ್ಲಿ ಒಂದು, ಮತ್ತು ಕೆಲಸ ಮಾಡುವ ಅನೇಕ TLS ಪ್ರೊಫೈಲ್‌ಗಳು ಅದನ್ನು ಎಂದಿಗೂ ಕೇಳುವುದಿಲ್ಲ. ಸರ್ವರ್ ಬಳಕೆದಾರರನ್ನು ಪ್ಲಗಿನ್, ಬಳಕೆದಾರಹೆಸರು ಮತ್ತು ಗುಪ್ತಪದ, ಅಥವಾ ಟೋಕನ್ ಬ್ಯಾಕೆಂಡ್ ಮೂಲಕ ದೃಢೀಕರಿಸಬಹುದು, ಜೊತೆಗೆ ಕ್ಲೈಂಟ್ ಸರ್ವರ್‌ನ ಗುರುತನ್ನು ಪರಿಶೀಲಿಸಬೇಕೆಂದು ಒತ್ತಾಯಿಸಬಹುದು. ಪ್ರೊಫೈಲ್‌ನಲ್ಲಿ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ಸೂಚನೆ ಇಲ್ಲದಿದ್ದರೆ, ಯಾವುದೇ ಪ್ರಮಾಣಪತ್ರ ಎಂದಿಗೂ ಕೇಳಲ್ಪಡುವುದಿಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ಪರಿವರ್ತನೆ ಗೇಟ್‌ವೇಯನ್ನು ಒಂದನ್ನು ಕೇಳಲು ಒತ್ತಾಯಿಸುವುದಿಲ್ಲ.

ಹಳೆಯ ಸ್ಥಿರ-ಕೀ ಸಂರಚನೆಗಳು ಮೂರನೇ ಪ್ರಕರಣ. ಅವು TLS ಹ್ಯಾಂಡ್‌ಶೇಕ್‌ಗಿಂತ ಮೊದಲಿನವು ಮತ್ತು ಮುಂಚಿತವಾಗಿ ಹಂಚಿದ ರಹಸ್ಯ ಫೈಲ್ ನಿರೀಕ್ಷಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ಆ ಕ್ಷೇತ್ರದಲ್ಲಿ ಸಾರ್ವಜನಿಕ ಕೀ ಅಂಟಿಸುವುದೂ ಕೆಲಸ ಮಾಡುವುದಿಲ್ಲ. ರುಜುವಾತು ತಪ್ಪಾಗಿದೆ ಎಂದು ನಿರ್ಧರಿಸುವ ಮೊದಲು ಪ್ರೊಫೈಲ್ ನಿಜವಾಗಿ ಏನನ್ನು ಕೇಳುತ್ತದೆ ಎಂದು ಓದಿ.

ಮರುಎನ್ಕೋಡಿಂಗ್ ಏನು ಮಾಡಬಹುದು ಮತ್ತು ಏನು ಮಾಡಲಾರದು

ಖಾಸಗಿ ಕೀಗಳಿಗೆ ನಿಜವಾಗಿಯೂ ಕಾನೂನುಬದ್ಧ ಪರ್ಯಾಯ ಕಂಟೇನರ್‌ಗಳಿವೆ. ಅದೇ RSA ಅಥವಾ EC ಕೀಯನ್ನು ಸಾಂಪ್ರದಾಯಿಕ PEM, PKCS#8, ಅಥವಾ PKCS#12 ಬಂಡಲ್ ಒಳಗೆ ಬರೆಯಬಹುದು, ಮತ್ತು ಉಪಕರಣಗಳು ಅವುಗಳ ನಡುವೆ ಸಂತೋಷದಿಂದ ಪರಿವರ್ತಿಸುತ್ತವೆ. ಸಾರ್ವಜನಿಕ ಕೀಗಳಿಗೂ ಇದೇ ಕಥೆ: ssh-keygen SSH ಕೀಯ RFC 4716 ರೂಪವನ್ನು ಹೊರಡಿಸಬಲ್ಲದು, ಮತ್ತು OpenSSH ತನ್ನದೇ ಪ್ರಮಾಣಪತ್ರ ಸ್ವರೂಪವನ್ನೂ ಅರ್ಥಮಾಡಿಕೊಳ್ಳುತ್ತದೆ. ಅದೆಲ್ಲವೂ ಪ್ರಾತಿನಿಧ್ಯ, ಮತ್ತು ಪ್ರಾತಿನಿಧ್ಯ ನಂಬಿಕೆ ಅಲ್ಲ.

ಪರಿವರ್ತನೆ ಮಾಡಲಾರದ್ದು ಎಂದರೆ ನಿಮ್ಮ ಕೀಯನ್ನು ಎಂದಿಗೂ ನೋಡದ ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರದಿಂದ ಸಹಿ ಸೃಷ್ಟಿಸುವುದು. ಪ್ರಮಾಣಪತ್ರ ಎಂದರೆ ಒಂದು ನಿರ್ದಿಷ್ಟ ಸಾರ್ವಜನಿಕ ಕೀ ಒಂದು ನಿರ್ದಿಷ್ಟ ಉದ್ದೇಶಕ್ಕಾಗಿ ಒಂದು ನಿರ್ದಿಷ್ಟ ವಿಷಯಕ್ಕೆ ಸೇರಿದೆ ಎಂಬ ನೀಡುವವನ ಹೇಳಿಕೆ. ಮರುಎನ್ಕೋಡಿಂಗ್ ಕೀಯ ಬೈಟ್‌ಗಳನ್ನು ಉಳಿಸಿ ಹೇಳಿಕೆಯನ್ನು ಗೈರುಹಾಜರಾಗಿ ಬಿಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಗೇಟ್‌ವೇ ತನ್ನ ನಂಬಿಕೆ ಸಂಗ್ರಹದ ವಿರುದ್ಧ ಪರಿಶೀಲಿಸಲು ಏನನ್ನೂ ಹೊಂದಿಲ್ಲ.

ಹೆಚ್ಚಿನ ಪ್ರಯತ್ನಗಳು ಮೌನವಾಗಿ ವಿಫಲವಾಗುವ ಹಂತ ಇದೇ: ಫೈಲ್ ಈಗ .crt ನಲ್ಲಿ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ, ಕ್ಲೈಂಟ್ ಅದನ್ನು ದೂರಿಲ್ಲದೆ ಓದುತ್ತದೆ, ಮತ್ತು ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಇನ್ನೂ ನಿಲ್ಲುತ್ತದೆ ಏಕೆಂದರೆ ಎದುರಿಗಿನ ಪಕ್ಷವು ವಿಶ್ವಾಸಾರ್ಹ ನೀಡುವವರವರೆಗೆ ಸರಪಳಿ ನಿರ್ಮಿಸಲಾರದು.

ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರ ಎಲ್ಲಿ ಚಿತ್ರಕ್ಕೆ ಬರುತ್ತದೆ

ನಿಜವಾದ ನೋಂದಣಿ ನಿಮ್ಮ ನಿಯಂತ್ರಣದಲ್ಲಿರುವ ಕೀ ಜೋಡಿ ಮತ್ತು ನಿರ್ವಾಹಕರು ನಿರೀಕ್ಷಿಸುವ ವಿಷಯವನ್ನು ಹೊತ್ತಿರುವ ಪ್ರಮಾಣಪತ್ರ ಸಹಿ ವಿನಂತಿಯಿಂದ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ. ನಿರ್ವಾಹಕರು ಹಕ್ಕನ್ನು ಪರಿಶೀಲಿಸಿ, CA ಕೀಯಿಂದ ವಿನಂತಿಗೆ ಸಹಿ ಹಾಕಿ, ನೀಡಿದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಕ್ಲೈಂಟ್ ಒಪ್ಪಿಸಬೇಕಾದ ಯಾವುದೇ ಮಧ್ಯಂತರ ಸರಪಳಿಯೊಂದಿಗೆ ಹಿಂತಿರುಗಿಸುತ್ತಾರೆ. ನಂತರ ಕ್ಲೈಂಟ್‌ಗೆ ಅದಕ್ಕೆ ಸಹಿ ಹಾಕಿದ CA ಪ್ರಮಾಣಪತ್ರ ಬೇಕು, ಏಕೆಂದರೆ ಅದೇ ಅವನು ಮಾತನಾಡುತ್ತಿರುವ ಸರ್ವರ್ ಅದೇ ನಿಯೋಜನೆಗೆ ಸೇರಿದೆ ಎಂದು ದೃಢೀಕರಿಸಲು ಅವಕಾಶ ನೀಡುತ್ತದೆ.

ಆ ಕೊನೆಯ ಫೈಲ್ ಮರೆಯುವುದು ಸುಲಭ ಮತ್ತು ಬದಲಾಯಿಸುವುದು ಅಸಾಧ್ಯ. CA ಯ ಸಹಿ ಕೀ ಸ್ವತಃ ಎಂದಿಗೂ ಕ್ಲೈಂಟ್ ಸಂರಚನೆಗೆ ಸೇರುವುದಿಲ್ಲ, ಮತ್ತು ಯಾವುದೇ ಸ್ಥಳೀಯ ಪರಿವರ್ತನೆ ನೀವು ಪಡೆಯಬೇಕಿದ್ದ ಸರಪಳಿಯನ್ನು ಉತ್ಪಾದಿಸುವುದಿಲ್ಲ.

SSH ಕೀಯನ್ನು ಮರುಬಳಕೆ ಮಾಡುವ ವೆಚ್ಚ

ಪರಿವರ್ತನೆ ನಿಜವಾಗಿಯೂ ಸ್ವೀಕಾರಾರ್ಹ ಏನನ್ನಾದರೂ ಉತ್ಪಾದಿಸಿತು ಎಂದು ಭಾವಿಸಿ. SSH ಪ್ರವೇಶ ಮತ್ತು VPN ದೃಢೀಕರಣಕ್ಕೆ ಒಂದೇ ಕೀ ಜೋಡಿ ಮರುಬಳಕೆ ಮಾಡುವುದು ಇನ್ನೂ ಎರಡು ಸ್ವತಂತ್ರ ಭದ್ರತಾ ನಿರ್ಣಯಗಳನ್ನು ಜೋಡಿಸುತ್ತದೆ. authorized_keys ನಿಂದ ಒಂದು ಸಾಲು ತೆಗೆದರೆ SSH ಲಾಗಿನ್‌ಗಳು ನಿಲ್ಲುತ್ತವೆ, ಮತ್ತು ಅದೇ ಸಾರ್ವಜನಿಕ ಕೀಗಾಗಿ VPN CA ಈಗಾಗಲೇ ನೀಡಿದ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಏನೂ ಮಾಡುವುದಿಲ್ಲ. VPN ಬದಿಯನ್ನು ಅದರದೇ ವ್ಯವಸ್ಥೆಯಿಂದ ರದ್ದು ಮಾಡಲಾಗುತ್ತದೆ, ಅಂದರೆ ಪ್ರಮಾಣಪತ್ರ ರದ್ದತಿ ಪಟ್ಟಿ ಅಥವಾ ನಿರ್ವಾಹಕರ ನೋಂದಣಿ ದಾಖಲೆ.

ಆದ್ದರಿಂದ ಪರಿಶೀಲನಾ ಪಟ್ಟಿ ಯಾವುದೋ ಉಪಾಯದಿಂದಲ್ಲ, ನಿಲ್ಲಿಸುವ ಷರತ್ತಿನಿಂದ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ. openssl ಫೈಲ್ ಅನ್ನು ಪ್ರಮಾಣಪತ್ರವಾಗಿ ವಿಶ್ಲೇಷಿಸದಿದ್ದರೆ, ಪರಿವರ್ತನೆ ನಿಲ್ಲಿಸಿ ಮತ್ತು ನಿಮ್ಮ ಬಳಿ ಏನಿದೆ ಎಂದು ವಿವರಿಸಿ: SSH ಕೀ, SSH ಪ್ರಮಾಣಪತ್ರ, X.509 ಪ್ರಮಾಣಪತ್ರ, ಖಾಸಗಿ ಕೀ ಅಥವಾ ಬಂಡಲ್. ಪ್ರೊಫೈಲ್ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ಕೇಳದಿದ್ದರೆ, ನಿಲ್ಲಿಸಿ ಮತ್ತು ಸರ್ವರ್ ಯಾವ ದೃಢೀಕರಣ ವಿಧಾನ ನಿರೀಕ್ಷಿಸುತ್ತದೆ ಎಂದು ಕೇಳಿ. ಎರಡೂ ಉತ್ತರಗಳು X.509 ಕಡೆ ತೋರಿಸಿದಾಗ ಮಾತ್ರ ನೋಂದಣಿ ಮುಂದಿನ ಹೆಜ್ಜೆಯಾಗುತ್ತದೆ, ಮತ್ತು ಮೊದಲ ವಾಕ್ಯದಲ್ಲಿ ಸರಿಯಾದ ನಾಮಪದ ಇದ್ದರೆ ಆ ಮಾತುಕತೆ ಬಹಳ ವೇಗವಾಗಿ ಸಾಗುತ್ತದೆ.