Өзү кол койгон VPN сертификаты: бул эмнени билдирет жана эмнеге ишенет

Бул жерде эң көп зыянды эки ишеним келтирет: өзү кол койгон VPN сертификаты туннелдин шифрленбегенин билдирет деген жана VPN кардары сураган нерсени орнотуу VPNге гана таасир этет деген. Экөө тең реалдуу жайгаштырууга туш болгондо туруштук бере албайт. Өзү кол койгон сертификат кол коюу мамилесин сүрөттөйт, коопсуздук өкүмүн эмес, жана кошкон ишенимиңиздин камтылышы ал кайсы кампага түшкөнүнө жараша болот. Мен колдоо кызматы бир эскертүүнү унчукпай коюу үчүн провайдердин тамырын Windows машинасына импорттоп, анан браузер байланышсыз портал жөнүндө нааразы болууну эмне үчүн токтотканын түшүндүрүп, жарым күн өткөргөнүн көргөм. Бул суроонун эки жарымы чогуу тиешелүү, андыктан аларды бир нерсе катары караңыз.

Сертификат ишеним кампасы эмес

Сервер сунуштаган файл ачык ачкычты, субъект атын, чыгаруучу атын, жарактуулук даталарын жана кеңейтүүлөрдү алып жүрөт. Өзү кол койгон дегенибиз субъект менен чыгаруучу бир эле субъект экенин жана колтамга сертификаттын өз ачкычы менен текшерилерин билдирет. Бул аныктамада эч нерсе байланыш алсыз экенин айтпайт жана эч нерсе кардар аны кабыл аларын айтпайт.

Кабыл алуу башка жерден келет: кардарды багыттаган CA файлы, кол менен салыштырган манжа изи же кардар окуган кампада мурунтан турган тамыр. Жайгаштыруу толук ден соолукта болушу мүмкүн, бирок анын сертификаты ар бир ачык сыноодон кулайт. openssl verify система топтомуна каршы белгисиз чыгаруучу жөнүндө кабарлайт, жана бул кабар акак эмес, туура.

OpenVPNдин ca параметри колдонмо менен чектелген ишенимдин эң айкын учуру. Бул файл кардар кабыл ала турган якорлорду атайт жана бир жеке CA же чакан жайгаштырууда сервердин өзүнүн өзү кол койгон сертификатын камтышы мүмкүн. 2.6 версиясы CA файлын таратуунун ордуна SHA-256 манжа изин бекемдөө үчүн --peer-fingerprint параметрин да кабыл алат. WireGuard андан да алыс турат: анда сертификаттар таптакыр жок, ар бир шерик үчүн статикалык ачык ачкыч гана, ошондуктан өзү кол коюу суроосу ага тиешелүү эмес.

Ишенимди кайда орнотконыңыз аны ким мураска аларын аныктайт

Ошол эле сертификатты үч жерге койсоңуз, үч башка жарылуу радиусун аласыз. VPN кардары гана окуган топтом ошол кардарга таасир этет. Операциялык система кампасындагы тамыр ошол кампага кайрылган ар бир программага таасир этет. Өз ишеним базасы бар браузер экөөнө тең көңүл бурбашы мүмкүн, ошондуктан иштегендей көрүнгөн импорттон кийин да эскертүү сакталып калышы мүмкүн.

Debian же Ubuntuда /usr/local/share/ca-certificates/ ичине файл салуу жана update-ca-certificates иштетүү система боюнча топтомду өзгөртөт. Windowsдо certutil -addstore -f Root машина кампасына жазат жана көтөрүлгөн буйрук сабын талап кылат, ал эми -user кошуу ордуна учурдагы колдонуучунун кампасын бутага алат; экөө бири-бирин алмаштыра албайт. Firefox өзүнүн NSS базасын кармайт, ошондуктан ОС деңгээлиндеги импорт ал жерде эч качан көрүнбөшү мүмкүн.

Камтылыш маанилүү, анткени бийликтин эмне кыла аларына байланыштуу. Чыгаруучу CA өзүнө тиешеси жок аттарга кол коё алат, ошондуктан ошол кампага ишенген нерсенин баары ошол колтамгаларды кабыл алат. Бир бекитилген жалбырак муну кыла албайт; ал так бир шерик идентитетин аутентификациялайт. Максат бир VPNди туташтыруу болсо, колдонмо менен чектелген CA же бекитилген жалбырак ага жетет, ал эми машина боюнча тамыр симптом талап кылгандан алда канча чоң жеңилдик.

Сиз дагы эле ачык CAсыз шифрлейсиз

TLS кол алышуусу сессия ачкычтарын чыгарат, шерик сертификаты сиз мурунтан ишенген нерсеге чынжырланабы же жокпу — ага карабастан. Өзү кол койгон ачык текстти билдирбейт жана трафик учуу учурунда окуларын билдирбейт. Бул кардардын ачкыч сураган серверге таандык экенине алдын ала ишенүүгө негизи жок экенин билдирет.

Так ошол жылкыда реалдуу кол салуулар жашайт. Каалаган сертификатты кабыл алууга конфигурацияланган кардар, өчүрүлгөн текшерүү параметри аркылуубу же бир жолу басылып унутулган «баары бир ишен» баскычы аркылуубу, жооп берген ар кимге кубаныч менен шифрлейт. Тоскоолдук аутентификация кадамында, колдонмо маалыматтары кыймылдабастан мурун болот. Идентитетти текшерүүсүз шифрлөө пассивдүү байкоочуну сыртта кармайт жана башка аз нерсе кылат.

Чыгаруучуга ишенүү ат текшерүүсүн өткөрүп жибербейт

Чынжырды валидациялоо, атты дал келтирүү жана сертификаттын максаты өзүнчө чечимдер. Чынжыр жарактуу болушу мүмкүн, ал эми ат туура эмес; ат дал келиши мүмкүн, ал эми сертификат башка роль үчүн берилген. RFC 5280 ушул чектөөлөрдү алып жүргөн талааларды аныктайт, ал эми кардар аларды канчалык катуу аткарары ар бир колдонмонун иши.

OpenVPN бөлүнүүнү көрүнүктүү кылат. verify-x509-name күтүлгөн субъектти name, name-prefix же subject дал келиши аркылуу бекемдейт. remote-cert-tls server шерик сертификатынын сервер сертификаты катары колдонулушу мүмкүн болушун талап кылат, бул чыгаруучу ишенимдүү болсо дагы кардар гана сертификатын четке кагат. Эки параметрдин эч бири CA файлын жөнөтүү менен алмаштырылбайт.

Бир нерсени чечпестен мурун сертификатты карап чыгыңыз:

• openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName аны ким бергенин, кайсы аттар үчүн жана качанга чейин көрсөтөт.
• openssl verify -CAfile ca.crt server.crt жөнөтө турган чынжырдын жалбыракты чынында валидациялай турганын текшерет.
• openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -CAfile ca.crt -verify_return_error веб-портал сыяктуу TLS четки чекиттери үчүн иштейт; 1194төгү OpenVPN протоколу жөнөкөй TLS агымы эмес, ошондуктан ал сыноо ал жерде колдонулбайт.

Мөөнөтү өткөн, туташкан ат үчүн subjectAltName жок же serverAuth колдонуусу жок сертификат якорь канчалык этият орнотулганына карабастан ишке ашпайт.

Бирин кабыл алуудан мурун беш текшерүү

Манжа изин оңдоого аракет кылып жаткан байланыш эмес канал аркылуу салыштырыңыз: консоль, мурунтан бар орнотуучу, кол коюлган конфигурация файлы. Сервердеги openssl x509 -in server.crt -noout -fingerprint -sha256 жана кардар журналындагы ошол эле маани бир объектини карап жатканыңызды билүүгө жетет.

Андан кийин эмнени орнотуп жатканыңызды чечиңиз: бир жалбыракпы же көбүрөөк куя алган бийликпи. Анан ал кайда барарын чечиңиз жана ошол кампаны окуган колдонмолорду атаңыз. Жок кылуу жолун эсиңизде турганда жазып алыңыз, анткени ишен-да-уланта-бер ушундай убактылуу импорт туруктуу болуп калат.

Акырында, өзгөрүүнү пландаңыз. Бекитилген сертификат же манжа изи сертификат айланганда ошол эле ишенимдүү канал аркылуу жаңыртылышы керек, ал эми жеке CAнын өзүнүн берүү жана жокко чыгаруу жашоо цикли бар. Жеке ачкыч агып кетсе, ошол эле сертификаттын көчүрмөсүнө кайра ишенүү эч нерсени оңдобойт; идентитетти алмаштыруу керек.

Эгер эскертүү беш текшерүүнүн баарынан өтсө, пайдалуу суроо аны кайсы баскыч унчукпай койгону эмес, кардар иш жүзүндө кайсы кампаны окуганы жана ошол тамыр кайдан келгени. Ага жооп бериңиз, ошондо жасай турган импортуңуз рефлекс эмес, чечимге айланат.