ಪ್ರತಿ VPN ಕ್ಲೈಂಟ್‌ಗೆ ca.key ನಕಲಿಸುವುದು CA ಅನ್ನು ಏಕೆ ಮುರಿಯುತ್ತದೆ
ಕ್ಲೈಂಟ್ CA ಯ ಸಾರ್ವಜನಿಕ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ; ಸಹಿ ಮಾಡುವ ಕೀಲಿ ಅದಕ್ಕೆ ಎಂದಿಗೂ ಬೇಕಾಗಿಲ್ಲ. ca.key ಅನ್ನು ಪ್ರತಿ ಸಾಧನಕ್ಕೆ ನಕಲಿಸುವುದು ಒಂದು ಪ್ರತಿ ಪಡೆದವರಿಗೆ ನೀಡುವ ಅಧಿಕಾರವನ್ನು ನೀಡುತ್ತದೆ.
ಸೆಟಪ್ ಸೂಚನೆಗಳಲ್ಲಿ ಎಲ್ಲೋ, ಯಾವ ಫೈಲ್‌ಗಳು ಅಲ್ಲಿಗೆ ಸೇರಬೇಕೆಂದು ನಿರ್ಧರಿಸುವುದಕ್ಕಿಂತ ಸುಲಭವಾದ್ದರಿಂದ ಒಂದು ಡೈರೆಕ್ಟರಿಯನ್ನು ಪ್ರತಿ ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗೆ ಪೂರ್ಣವಾಗಿ ನಕಲಿಸಲಾಗುತ್ತದೆ. ಆ ಡೈರೆಕ್ಟರಿಯಲ್ಲಿ ca.key ಇದೆ, ಮತ್ತು ಅದು ಎರಡನೇ ಸಾಧನವನ್ನು ತಲುಪಿದ ಕ್ಷಣ ಪ್ರಮಾಣಪತ್ರ ಪ್ರಾಧಿಕಾರವು ಪ್ರಾಧಿಕಾರವಾಗಿರುವುದಿಲ್ಲ. ಈಗ ಯಾವುದೇ ಹಿಡುವಳಿದಾರರು ನೆಟ್‌ವರ್ಕಿನ ಉಳಿದ ಭಾಗವು ನಂಬುವ ಗುರುತುಗಳನ್ನು ನೀಡಬಹುದು.
ಈ ಗೊಂದಲವನ್ನು ಒಮ್ಮೆ ಬಿಡಿಸುವುದು ಯೋಗ್ಯ, ಏಕೆಂದರೆ ಎರಡು ಫೈಲ್‌ಗಳು ಹೋಲುತ್ತವೆ ಆದರೆ ವಿರುದ್ಧ ಕೆಲಸ ಮಾಡುತ್ತವೆ.
ಪರಿಶೀಲನಾ ಸಾಮಗ್ರಿ ಮತ್ತು ಸಹಿ ಸಾಮಗ್ರಿ
ಎದುರು ಕಡೆಯವರು ಒದಗಿಸಿದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಆ ಪ್ರಾಧಿಕಾರವೇ ಸಹಿ ಮಾಡಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಲು ಕ್ಲೈಂಟ್‌ಗೆ CA ಯ ಸಾರ್ವಜನಿಕ ಪ್ರಮಾಣಪತ್ರ ಬೇಕು. ಇದು ಪರಿಶೀಲನೆಯ ಕೆಲಸ ಮತ್ತು ಇದಕ್ಕೆ ಯಾವುದೇ ರಹಸ್ಯ ಬೇಕಿಲ್ಲ. ಎದುರು ಕಡೆಯ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಸಹಿ ಮಾಡುವುದು ಬೇರೆ ಕೆಲಸ, ಅದನ್ನು CA ನಡೆಸುವವರು ಒಮ್ಮೆ, ತಮ್ಮ ಸಂರಕ್ಷಿತ ಸಂಗ್ರಹದಿಂದ ಎಂದಿಗೂ ಹೊರಬರದ ಖಾಸಗಿ ಕೀಲಿಯಿಂದ ಮಾಡುತ್ತಾರೆ. ಈ ಎರಡು ಕೆಲಸಗಳನ್ನು ಬೇರೆಯಾಗಿ ಇಡುವುದೇ ಎರಡು ಫೈಲ್‌ಗಳನ್ನು ಕಳುಹಿಸುವ ಸಂಪೂರ್ಣ ಉದ್ದೇಶ.
ಆದ್ದರಿಂದ ca.crt ಪ್ರೊಫೈಲ್‌ಗೆ ಸೇರುತ್ತದೆ ಮತ್ತು ca.key ಅದರ ಹತ್ತಿರ ಎಲ್ಲೂ ಸೇರುವುದಿಲ್ಲ. ಫೈಲ್ ಹೆಸರುಗಳು ಒಂದು ಸಂಪ್ರದಾಯ, ಖಾತರಿ ಅಲ್ಲ, ಆದ್ದರಿಂದ ಪ್ರಕಾರವನ್ನು ಹೆಸರಿನಿಂದ ಊಹಿಸದೆ ಪರಿಶೀಲಿಸಬೇಕು.
ಮಧ್ಯವರ್ತಿ CA ಅಥವಾ ಆನ್‌ಲೈನ್ ನೀಡುವಿಕೆ ಸೇವೆ ಇರುವ ವಾಸ್ತುಶಿಲ್ಪ ಇದಕ್ಕೆ ಅಪವಾದವಲ್ಲ. ಸಾಧನ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ದೊಡ್ಡ ಪ್ರಮಾಣದಲ್ಲಿ ನೀಡುತ್ತಾ ಸಹಿ ಮಾಡುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಅಂತ್ಯ ಬಿಂದುಗಳಿಂದ ದೂರವಿಡುವ ಪ್ರಮಾಣಿತ ದಾರಿ ಇದು.
ಕ್ಲೈಂಟ್ ತನ್ನದೇ ಕೀಲಿಯಿಂದ ಏನನ್ನು ಸಾಬೀತುಪಡಿಸಬೇಕು
ಪ್ರತಿ ಸಾಧನವೂ ತನ್ನದೇ ಕೀಲಿ ಜೋಡಿ ಮತ್ತು ತನ್ನದೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪಡೆಯುತ್ತದೆ, ಅದಕ್ಕೆ CA ಒಮ್ಮೆ ಸಹಿ ಮಾಡುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಆ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಒದಗಿಸಿ ಸರಿಹೊಂದುವ ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಹೊಂದಿರುವುದನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಸರ್ವರ್ ಅದನ್ನು ಸ್ವೀಕರಿಸಬೇಕೇ ಎಂದು ನಿರ್ಧರಿಸುತ್ತದೆ. ಲ್ಯಾಪ್‌ಟಾಪ್ ಕಳೆದುಹೋದಾಗ ರದ್ದಾಗುವ ಗುರುತು ಇದೇ.
ಕಳ್ಳತನದ ನಂತರ ಈ ವ್ಯತ್ಯಾಸವೇ ಅತ್ಯಂತ ಮುಖ್ಯ. ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಪ್ರತ್ಯೇಕ ಗುರುತು ಇದ್ದರೆ, ಒಡ್ಡಲ್ಪಟ್ಟ ಒಂದು ಕ್ಲೈಂಟ್ ಅನ್ನು ರದ್ದತಿ ಅಥವಾ ಎದುರು ಕಡೆಯವರನ್ನು ತೆಗೆಯುವ ಮೂಲಕ ತೆಗೆಯಲಾಗುತ್ತದೆ, ಉಳಿದ ದಂಡು ಕೆಲಸ ಮುಂದುವರಿಸುತ್ತದೆ.
ಸೋರಿದ ಪ್ರಾಧಿಕಾರದ ಕೀಲಿಯನ್ನು ಹೀಗೆ ನಿರ್ವಹಿಸಲಾಗದು. ಅದು ಎಂದಾದರೂ ಸಹಿ ಮಾಡಿದ ಅಥವಾ ಮಾಡಬಹುದಾಗಿದ್ದ ಪ್ರತಿ ಪ್ರಮಾಣಪತ್ರವೂ ಸಂಶಯಾಸ್ಪದವಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರತಿಕ್ರಿಯೆ ಒಂದೇ ರದ್ದತಿ ಅಲ್ಲ, ನಂಬಿಕೆಯನ್ನು ಬದಲಾಯಿಸುವುದು. ಇದೊಂದು ಯೋಜನೆ, ಟಿಕೆಟ್ ಅಲ್ಲ.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
ಫೈಲ್ ಅನ್ನು ಎಲ್ಲಿಗಾದರೂ ನಕಲಿಸುವ ಮೊದಲು ಅದನ್ನು ಓದಿ
ಎರಡು ಆಜ್ಞೆಗಳು ಯಾವುದೇ ರಹಸ್ಯವನ್ನು ಮುದ್ರಿಸದೆ ನಿಮ್ಮ ಕೈಯಲ್ಲಿ ಯಾವ ರೀತಿಯ ವಸ್ತು ಇದೆ ಎಂದು ಹೇಳುತ್ತವೆ. ಮೊದಲನೆಯದು ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿನ ವಿಷಯ ಮತ್ತು CA ಧ್ವಜವನ್ನು ಹೇಳುತ್ತದೆ; ಎರಡನೆಯದು ಕೀಲಿಯನ್ನು ಮಾನ್ಯಗೊಳಿಸಿ ಅದರ ಪ್ರಕಾರವನ್ನು ವರದಿ ಮಾಡುತ್ತದೆ. ನೀವು ಹಂಚಲಿರುವ ಬಂಡಲ್‌ನ ಫೈಲ್‌ಗಳ ಮೇಲೆ ಎರಡನ್ನೂ ಚಲಾಯಿಸಿ. ಖಾಸಗಿ ಕೀಲಿಯಾಗಿ ಮಾನ್ಯವಾಗುವ ಯಾವುದೂ ಕ್ಲೈಂಟ್ ಡೈರೆಕ್ಟರಿಯಲ್ಲಿ ಇರಬಾರದು.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
ಕ್ಲೈಂಟ್ ಬಂಡಲ್‌ನಲ್ಲಿರುವ ಫೈಲ್‌ನಲ್ಲಿ ಎರಡನೇ ಆಜ್ಞೆ ಯಶಸ್ವಿಯಾದರೆ, ನಿಲ್ಲಿಸಿ ಮತ್ತು ಬಂಡಲ್ ಅನ್ನು ರಾಜಿ ಮಾಡಿಕೊಳ್ಳಲಾಗಿದೆ ಎಂದು ಪರಿಗಣಿಸಿ. ಕೀಲಿ ಮಾನ್ಯವಾಗಿದೆ ಎಂದು ಹೇಳುವ ಔಟ್‌ಪುಟ್ ಅದು ಇದೆ ಎಂದೂ ಹೇಳುತ್ತದೆ, ಮತ್ತು ಅದರ ಇರುವಿಕೆಯೇ ಸಂಪೂರ್ಣ ಸಮಸ್ಯೆ.
ಇನ್ನೊಂದು ದಿಕ್ಕನ್ನೂ ಗಮನಿಸಿ: ಕ್ಲೈಂಟ್ ಪ್ರೊಫೈಲ್‌ನಲ್ಲಿ ಆ ಕ್ಲೈಂಟ್‌ನದೇ ಖಾಸಗಿ ಕೀಲಿ ಕಾನೂನುಬದ್ಧವಾಗಿ ಇರುತ್ತದೆ. ಸಿಕ್ಕ ಪ್ರತಿ ಕೀಲಿಯನ್ನೂ ಅಳಿಸುವುದು ಏನನ್ನೂ ಸುಧಾರಿಸದೆ ಸಂಪರ್ಕವನ್ನು ಮುರಿಯುತ್ತದೆ, ಆದ್ದರಿಂದ ತೆಗೆಯುವ ಮೊದಲು ವಸ್ತುವನ್ನು ಗುರುತಿಸಬೇಕು.
ಈಗಾಗಲೇ ಹಂಚಿದ ಕೀಲಿಯನ್ನು ನಿಯಂತ್ರಿಸುವುದು
ಸ್ಥಳೀಯ ಪ್ರತಿಯನ್ನು ಅಳಿಸುವುದರಿಂದ ಒಡ್ಡುವಿಕೆ ಹಿಮ್ಮುಖವಾಗುತ್ತದೆ ಎಂದು ಭಾವಿಸಬೇಡಿ. ಫೈಲ್ ಇದ್ದ ಯಾರಾದರೂ ಅದನ್ನು ನಕಲಿಸಿರಬಹುದು, ಮತ್ತು ಸುರಕ್ಷಿತ ಊಹೆ ಎಂದರೆ ಅವರು ನಕಲಿಸಿದ್ದಾರೆ. ನಿರ್ವಾಹಕರ ಘಟನೆ ಪ್ರಕ್ರಿಯೆಯನ್ನು ಅನುಸರಿಸಿ ನಂಬಿಕೆಯ ಆಧಾರವನ್ನು ಬದಲಾಯಿಸಿ, ಹೊಸ CA ಅಡಿಯಲ್ಲಿ ಸಾಧನ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ಮತ್ತೆ ನೀಡಿ.
ನಂತರ ಸಮಸ್ಯೆ ಸೃಷ್ಟಿಸಿದ ಪ್ಯಾಕೇಜಿಂಗ್ ಅನ್ನು ಬದಲಾಯಿಸಿ. ಫೈಲ್‌ಗಳ ಸ್ಪಷ್ಟ ಅನುಮತಿ ಪಟ್ಟಿಯೊಂದಿಗೆ ಡೈರೆಕ್ಟರಿ ಪಟ್ಟಿಯನ್ನು ಕಳುಹಿಸಿ, CA ಕೀಲಿಯನ್ನು ಕ್ಲೈಂಟ್ ದಂಡಿಗೆ ಎಂದಿಗೂ ಸೇರದ ಯಂತ್ರದಲ್ಲಿಡಿ, ಮತ್ತು ಯಾವ ವ್ಯವಸ್ಥೆ ಅದನ್ನು ಇಟ್ಟುಕೊಂಡಿದೆ ಎಂದು ದಾಖಲಿಸಿ.
ಪ್ರಾಧಿಕಾರವು ಆಗಾಗ್ಗೆ ನೀಡಬೇಕಿದ್ದರೆ, ಸಹಿ ಮಾಡುವುದನ್ನು ಸಣ್ಣ ವ್ಯಾಪ್ತಿ ಮತ್ತು ಕಡಿಮೆ ಅವಧಿಯ ಸೇವೆ ಅಥವಾ ಮಧ್ಯವರ್ತಿ ಪ್ರಾಧಿಕಾರದ ಹಿಂದೆ ಸರಿಸಿ. ಹಾಗಾದರೆ ಭವಿಷ್ಯದ ತಪ್ಪು ಇಡೀ ನಿಯೋಜನೆಯ ನಂಬಿಕೆಯ ಮೂಲವನ್ನಲ್ಲ, ನೀಡುವಿಕೆಯ ಒಂದು ಭಾಗವನ್ನು ಮಾತ್ರ ಬಯಲು ಮಾಡುತ್ತದೆ.