Эмне үчүн ca.key файлын ар бир VPN кардарына көчүрүү CA-ны бузат
Кардар CAнын ачык сертификатын текшерет; ага кол койгон ачкыч эч качан керек эмес. ca.key файлын ар бир түзмөккө көчүрүү бир көчүрмө алган ар кимге чыгаруу укугун берет.
Орнотуу нускамасынын бир жеринде кайсы файлдар ошол жерге таандык экенин чечүүдөн оңой болгондуктан, бүтүндөй каталог ар бир ноутбукка толугу менен көчүрүлөт. Ал каталогдо ca.key бар, жана ал экинчи түзмөккө жеткен учурда сертификат органы орган болуудан калат. Эми ар кандай ээси тармактын калган бөлүгү ишене турган инсандыктарды чыгара алат.
Бул баш аламандыкты бир жолу чечүүнүн мааниси бар, анткени эки файл сырттан окшош, иш жүзүндө карама-каршы иштейт.
Текшерүү материалы жана кол коюу материалы
Кардарга каршы тарап сунуштаган сертификат ошол орган тарабынан кол коюлганын текшерүү үчүн CAнын ачык сертификаты керек. Бул текшерүү иши жана эч кандай сырды талап кылбайт. Каршы тараптын сертификатына кол коюу башка иш, аны CAны башкарган адам бир жолу, корголгон кампасынан эч качан чыкпаган жеке ачкыч менен аткарат. Ушул эки ишти өзүнчө кармоо – эки файл жөнөтүүнүн бүт мааниси.
Ошондуктан ca.crt профилге таандык, ал эми ca.key ага жакын эч бир жерге таандык эмес. Файл аттары – шарттуулук, кепилдик эмес, ошондуктан түрүн аттан болжолдобой текшерүү керек.
Ортоңку CA же онлайн чыгаруу кызматы бар архитектура буга өзгөчөлүк эмес. Бул түзмөк сертификаттарын кеңири чыгарып жатып, кол коюу жөндөмүн акыркы чекиттерден алыс кармоонун стандарттык жолу.
Кардар өз ачкычы менен эмнени далилдеши керек
Ар бир түзмөк өзүнүн ачкыч жупун жана өзүнүн сертификатын алат, ага CA бир жолу кол коёт. Кардар ошол сертификатты көрсөтүп, ага туура келген жеке ачкычка ээ экенин далилдейт, ал эми сервер аны кабыл алуу-албоону чечет. Ноутбук жоголгондо артка кайтарылуучу инсандык ушул.
Бул айырма уурулуктан кийин эң маанилүү. Ар бир түзмөккө өзүнчө инсандык болсо, ачылган бир кардар артка кайтаруу же каршы тарапты жоюу менен алынат, ал эми флоттун калганы ишин улантат.
Сызган орган ачкычын мындай башкаруу мүмкүн эмес. Ал качандыр бир кол койгон же кол коё алган ар бир сертификат шектүү болуп калат, ошондуктан жооп – жалгыз артка кайтаруу эмес, ишенимди алмаштыруу. Бул долбоор, билет эмес.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Файлды бир жерге көчүрүүдөн мурун окуңуз
Эки буйрук эч кандай сырды басып чыгарбастан, колуңузда кандай түрдөгү объект бар экенин айтат. Биринчиси сертификаттагы субъектини жана CA желегин атайт; экинчиси ачкычты текшерип, анын түрүн билдирет. Экөөнү тең тарата турган топтомдогу файлдарга иштетиңиз. Жеке ачкыч катары тастыкталган нерсенин баары кардар каталогуна таандык эмес.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Эгер экинчи буйрук кардар топтомунда жаткан файлда ийгиликтүү аткарылса, токтоп, топтомду бузулган деп эсептеңиз. Ачкыч жарактуу деген чыгарылыш анын бар экенин да айтат, ал эми бар болушу – бүт көйгөй.
Карама-каршы багытка да көңүл буруңуз: кардар профилинде ошол кардардын өз жеке ачкычы мыйзамдуу түрдө болот. Табылган ар бир ачкычты жоготуу эч нерсени жакшыртпастан байланышты үзөт, ошондуктан объектини жок кылуудан мурун аныктоо керек.
Мурун тараткан ачкычты чектөө
Жергиликтүү көчүрмөнү жоготуу ачыкка чыгууну артка кайтарат деп ойлобоңуз. Файлга ээ болгон ар ким аны көчүрүп алган болушу мүмкүн, ал эми коопсуз божомол – көчүргөн. Оператордун окуя тартибин аткарыңыз жана ишеним тирегин алмаштырыңыз, түзмөк сертификаттарын жаңы CA астында кайра чыгарып.
Андан кийин көйгөйдү жараткан таңгактоону өзгөртүңүз. Файлдардын ачык уруксат тизмеси менен каталог тизмесин жөнөтүңүз, CA ачкычын кардар флотуна эч качан кошулбаган машинада кармаңыз, жана аны кайсы система сактаарын жазып коюңуз.
Эгер орган тез-тез чыгарууга тийиш болсо, кол коюуну тар аймактуу жана кыска мөөнөттүү кызматтын же ортоңку органдын артына жылдырыңыз. Ошентип келечектеги ката бүт жайгаштыруунун ишеним тамырын эмес, чыгаруунун бир бөлүгүн гана ачыкка чыгарат.