VPN үчүн өз колтамгасы коюлган жана ачык CA: чындыгында эмне өзгөрөт

Сиз VPN конфигурациясынын сертификаттар бетине келесиз, бекер өз колтамгасы коюлган вариантты акы төлөнүүчү ачык CAнын жанында көрөсүз, жана суроо коопсуздук тандоосуна окшош угулат. Бул чындыгында аудитория тандоосу. Эки вариант тең туннелди бирдей криптографиялык негиздер менен шифрлайт, жана жеке ачкыч агып кетсе, экөө тең пайдасыз болуп калат. Аларды бөлгөн нерсе — сервердин инсандыгы тууралуу билдирүүнү ким жасайт жана ал билдирүүнү текшерүүгө кимдин мүмкүнчүлүгү бар.

Сертификат чаташтырылган эки иш аткарат

Сертификат ачык ачкычты атка байланыштырат, ал эми ачкыч шифрлөө жана кол коюу ишин аткарат. Сертификаттагы кол тамга өзүнчө билдирүү: кандайдыр бир орган бул ат ушул ачкычтын ээсине таандык экенин текшерген. Өз колтамгасы коюлган сертификат бул билдирүүнү өзү тууралуу жасайт, бул такыр үчүнчү тараптын билдирүүсү эмес.

Ачык веб-сайттарга үчүнчү тараптын версиясы керек, анткени келүүчүлөр алдын ала мамилесиз келишет жана браузердин ишеним кампасына таянышат. VPN кардары бөтөн эмес. Сиз ага CA сертификатын бересиз, же орнотуучу профилдин ичинде сервер сертификатын бекитесиз, ошондуктан текшерүү так сиз тандаган органга каршы жүрөт. Бул текшерүүнүн мааниси болушу үчүн коммерциялык CA катышуусу шарт эмес.

Алынган сессиянын күчү ачкычтын өлчөмүнөн жана шифрлоо топтомунан келет, кол коюучудан эмес. Ошондуктан өз колтамгасы коюлган сертификатты "азыраак шифрленген" деп атоо жөн гана туура эмес; ал азыраак кеңири кепилденген, бул башка касиет.

Ачык CA өз төлөмүн кайда актайт

Эң ачык учур — администрациялык бети. Эгер кесиптештер, мердигерлер же даяр профили жок каалаган адам VPN серверинин веб-интерфейсин браузер эскертүүсүз ачууга аргасыз болсо, ачык ишенимдүү сертификат ошол тоскоолдукту жоёт. Браузер кол коюучуга мурунтан ишенет, ошондуктан импорттоого да, түшүндүрүүгө да эч нерсе жок.

Бул ыңгайлуулуктун сатып алуудан мурун атоого татыктуу чыгымдары бар. Жаңыртуу автоматташтырылышы керек, болбосо сайт график боюнча бузулат, ачык сертификаттар сертификат ачыктык журналдарында хост атын ачыкка чыгарат, жана берүү ылдамдыгынын чектөөлөрү ашыкча берилиш менен кайра аракет кылган скриптти жазалайт. Алардын эч бири ачык CAдан качууга себеп эмес, бирок бул жеке CA башка жерге жылдырган операциялык иш.

Ачык сертификат жасабаган нерсе — колдонуучуларыңызды аутентификациялоо. Кардардын инсандыгы өзүнчө чечим, кардар сертификаттары, сырсөздөр же экинчи фактор менен кабыл алынат, жана серверге кол койгон CA ага кимдин туташууга укугу бар экени тууралуу эч нерсе айтпайт.

Жеке CA VPNге кайда туура келет

Кардарлардын жыйындысы белгилүү жеке VPN үчүн өз CAңызды жүргүзүү — салттуу тандоо. CAны бир жолу түзөсүз, сервер сертификатына кардарлар колдоно турган ат менен кол коясыз жана CA сертификатын ар бир профилдин ичинде таратасыз. Андан кийин ар бир кардар серверди сиздин органыңызга каршы текшерет, жана эч бир тышкы тарап хост атын билбейт.

Чыгымдар реалдуу, бирок чектелген. Бирөө администрациялык бети түз ачканда браузерлер эскертет, анткени браузердин сиздин CAңызга ишенүүгө эч кандай себеби жок. Профилдерди таратуу адаптация процессинин бөлүгүнө айланат, ал эми CAны айландыруу ар бир кардарга тийүүнү билдирет. Бул он же элүү белгилүү колдонуучусу бар кызмат үчүн кабыл алынар баа, жана миңдеген колдонуучусу бар ачык акыркы чекит үчүн оор.

Бир шарт бүтүндөй курулушту жарактуу кылат: текшерүү орун алышы керек. Сертификат каталарын этибарга албоого конфигурацияланган кардар каалаган сертификатты сунуштаган каалаган серверди кабыл алат, ошондуктан шифрлөө калат, ал эми инсандык кепилдик жоголот. Ушул жөндөө "өз колтамга ишенимсиз" окуяларынын көбүндөгү чыныгы алсыздык.

CAнын жеке ачкычы кийин эмне кыла аларыңызды чечет

Таң калуу адатта бир нече айдан кийин, түзмөк кошкуңуз келгенде келет. Кардар сертификатын берүү үчүн CAнын жеке ачкычы керек, күчүн жокко чыгаруу тизмесин түзүү үчүн да. Эгер сертификат жана ачкыч файлдары бар, бирок CA ачкычы жок серверди мураска алсаңыз, жаңы эч нерсеге кол коё албайсыз. Сиздин варианттарыңыз — PKIни кайра куруп, ар бир кардарга жаңы CA сертификатын берүү же сырсөз менен аутентификацияга өтүү; бул башка коопсуздук модели жана жоголгонду кайтарбайт.

Ошол эле аймакта эки кичинекей капкан бар. easy-rsa скрипттери аларды камтыган каталогдо турасыз деп болжолдойт, ошондуктан жок файл катасы адатта бузулган орнотууну эмес, туура эмес жерди билдирет. Ал эми сертификаттарга гана негизделген дизайн толук мыйзамдуу: алдын ала бөлүшүлгөн ачкычсыз кардар сертификаттарын талап кыла аласыз, ар бир кардарда бирөө болсо жана сервер чынжырды текшерсе.

Бүткүл команда үчүн бир жалпы кардар сертификатынын ордуна ар бир түзмөккө бир сертификат бериңиз. Анда жоголгон ноутбук сизге баарына кайра берүүнүн ордуна бир гана күчүн жокко чыгарууга турганын берет.

Мураска эмне алганыңызды текшериңиз

Каалаган өзгөртүүнү пландаштыруудан мурун, колуңузда бар сертификатты окуңуз:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Эгер чыгаруучу субъектке барабар болсо, сертификат өз колтамгасы коюлган, бул дизайн тандоосу, кемчилик эмес. Күндөр жаңыртуу качан бирөөнүн көйгөйүнө айланарын айтат, жана жөнөтө турган CAңызга каршы ийгиликтүү текшерүү чынжырдын бир кардар аракет кылганга чейин иштешин тастыктайт.

Андан кийин аудитория жана таратуу боюнча тандаңыз: белгисиз браузерлер администрациялык бетке ишениши керек болсо ачык CA, ар бир кардар сиз көзөмөлдөгөн профилди алса жеке CA. Эки жооптун экөө тең экинчисинен көбүрөөк шифрленген эмес.