Аны айландыруудан мурун: SSH ачкычы жана OpenVPN сертификаты

Импорт сертификат катасы менен ийгиликсиз болот, ошондуктан айкын кадам айландыруу болуп көрүнөт. Бул туюм адамдарды файл кеңейтүүсү өзгөрүп, ал эми баш тартуу так ошол бойдон калган жолго алып барат. authorized_keys ичиндеги ssh-ed25519 сабы жана OpenVPN кардар сертификаты өзүнчө эсептик маалымат объектилери, алардын чыгаруучулары, коддоолору жана жокко чыгаруу жолдору башкача. Бул текшерүүлөрдү ирети менен өтсөңүз, айландыруу таптакыр жардам бере алабы, бир мүнөттө билесиз.

Сизде чындыгында кайсы объект бар?

Адамдар ачкыч деп атаган беш нерсе бар, жана алардын бири гана TLS профили каалаган нерсе. SSH ачык ачкычы — тип префикси жана base64 жүгү бар бир сап текст. OpenSSH сертификаты — ошол ачкычка кол тамга, principals жана параметрлер кошулган нерсе, аны ssh-keygen өзүнүн кичинекей CA катары иштеп чыгарат. X.509 сертификаты — таптакыр башка түзүлүш: субъект, жарактуулук терезеси, кеңейтүүлөр жана сертификат органынын кол тамгасын алып жүрөт. Жеке ачкыч — жашыруун жарымы, ал эми чыгарылган топтом адатта бир файлда сертификат, анын тизмеги жана жеке ачкыч.

Биринчи сыноо бир буйрукка турат. opensslди файлга багыттап, сертификаттын түзүлүшүн талдоосун сураңыз:

openssl x509 -in client.crt -noout -subject -issuer

Эгер бул жүктөө мүмкүн эмес же PEM катасы менен ийгиликсиз болсо, файл кандай атаган болсоңуз да X.509 сертификаты эмес. Аталышты өзгөртүү ичиндеги ASN.1ди кайра жазбайт, ачык ачкыч сабын PEM аталыш текстине ороп да жасабайт.

Профиль сертификатты таптакыр талап кылабы?

Кардар сертификаттары бир нече аутентификация ыкмасынын бири, жана иштеген TLS профилдеринин көбү аны эч качан талап кылбайт. Сервер колдонуучуларды плагин, колдонуучу аты жана сырсөз же токендик бэкенд аркылуу аутентификациялай алат, ошол эле учурда кардардан сервердин инсандыгын текшерүүнү талап кылат. Профилде кардар сертификатынын директивасы жок болсо, эч качан сертификат талап кылынбайт, жана эч бир айландыруу шлюзди аны талап кылууга мажбурлабайт.

Эски статикалык ачкыч конфигурациялары үчүнчү учур. Алар TLS кол алышуусунан мурун пайда болгон жана алдын ала бөлүшүлгөн жашыруун файлды күтөт, ошондуктан ал талаага ачык ачкычты жабыштыруу да иштебейт. Эсептик маалымат туура эмес деп чечмеден мурун профилдин чындыгында эмнени талап кылаарын окуңуз.

Кайра коддоо эмнени кыла алат жана эмнени кыла албайт

Жеке ачкычтардын чын эле мыйзамдуу альтернатива контейнерлери бар. Ошол эле RSA же EC ачкычын салттуу PEM, PKCS#8 же PKCS#12 топтомунун ичинде жазууга болот, жана куралдар алардын ортосунда кубаныч менен айландырат. Ачык ачкычтардын да ушуга окшош тарыхы бар: ssh-keygen SSH ачкычынын RFC 4716 формасын чыгара алат, ал эми OpenSSH өзүнүн сертификат форматын да түшүнөт. Мунун баары — көрсөтүү, ал эми көрсөтүү ишеним эмес.

Айландыруу кыла албаган нерсе — сиздин ачкычыңызды эч качан көрбөгөн сертификат органынын кол тамгасын жаратуу. Сертификат — чыгаруучунун белгилүү бир ачык ачкыч белгилүү бир субъектке белгилүү бир максат үчүн таандык деген билдирүүсү. Кайра коддоо ачкычтын байттарын сактайт жана билдирүүнү жок калтырат, ошондуктан шлюздин өз ишеним кампасына каршы текшерер эч нерсеси жок.

Бул — көптөгөн аракеттердин үнсүз ийгиликсиз болгон кадамы: файл эми .crt менен бүтөт, кардар аны нааразылыксыз окуйт, ал эми кол алышуу баары бир үзүлөт, анткени каршы тарап ишенимдүү чыгаруучуга чейин тизмек кура албайт.

Сертификат органы сүрөткө кайдан кирет

Чыныгы каттоо сиз көзөмөлдөгөн ачкыч жупунен жана оператор күткөн субъектти алып жүргөн сертификатка кол коюу өтүнүчүнөн башталат. Оператор укукту текшерет, өтүнүчкө CA ачкычы менен кол коёт жана чыгарылган сертификатты кардар көрсөтүүгө тийиш болгон ар кандай аралык тизмек менен кайтарат. Андан кийин кардарга ага кол койгон CA сертификаты керек, анткени ал өзү сүйлөшүп жаткан сервердин ошол эле жайгаштырууга таандык экенин ырастоого мүмкүндүк берет.

Акыркы файлды унутуу оңой, ал эми алмаштыруу мүмкүн эмес. CAнын кол коюу ачкычы өзү эч качан кардар конфигурациясына таандык эмес, жана эч кандай жергиликтүү айландыруу сиз алышыңыз керек болгон тизмекти чыгарбайт.

SSH ачкычын кайра колдонуу сизге эмнеге турат

Айландыруу чын эле кабыл алынар нерсе чыгарды дейли. Бир ачкыч жупун SSH кирүү жана VPN аутентификация үчүн кайра колдонуу эки көз карандысыз коопсуздук чечимин байланыштырат. authorized_keys жазуусун алып салуу SSH кирүүлөрүн токтотот, ал эми ошол эле ачык ачкыч үчүн VPN CA буга чейин чыгарган сертификатка эч нерсе кылбайт. VPN тарабы өзүнүн механизми менен жокко чыгарылат, башкача айтканда сертификаттарды жокко чыгаруу тизмеси же оператордун каттоо жазуусу аркылуу.

Ошондуктан текшерүү тизмеси айлакерлик менен эмес, токтотуу шарты менен бүтөт. Эгер openssl файлды сертификат катары талдабаса, айландырууну токтотуп, эмнеңиз бар экенин айтыңыз: SSH ачкычы, SSH сертификаты, X.509 сертификаты, жеке ачкыч же топтом. Эгер профиль кардар сертификатын талап кылбаса, токтоп, сервер кайсы аутентификация ыкмасын күтөөрүн сураңыз. Эки жооп тең X.509га көрсөткөндө гана каттоо кийинки кадам болот, жана биринчи сүйлөмдө туура зат атооч болсо, бул сүйлөшүү алда канча тез өтөт.