En OpenVPN-Profil huet dräi Zertifikatsbléck: ween ass geheim?

Dir maacht eng .ovpn-Datei op, fir eng Linn ze änneren, a fannt dräi Bléck base64, déi all wéi Umeldungsdaten ausgesinn. Een ass sécher ze verëffentlechen, een ass sou sensibel wéi e Passwuert, an een ass e ëffentleche Schlëssel, deen näischt bedeit, wann net eppes anescht mat sengem Pendant ënnerschriwwen huet. D'Leit pechen déi ganz Datei an en Support-Thread, well d'Bléck austauschbar ausgesinn, an esou landt e Client-Schlëssel an engem ëffentlechen Archiv. Ze klären, wat all Bléck mécht, erkläert de gréissten Deel vun der Verwierrung ronderëm dës Profiler, an et seet Iech och, wat fir Feeler Dir selwer misst behiewen.

Eng Datei, dräi Bléck, verschidden Aarbechten

En typesche Profil setzt e ca-Bléck, e cert-Bléck an e key-Bléck tëscht BEGIN- an END-Marken, oder verweist op déiselwecht dräi als separat Dateien. Verschidde Profiler setze e véierten Bléck dobäi fir en tls-auth- oder tls-crypt-Schlëssel, deen en gemeinsamt Geheimnis ass an keen Zertifikat. De Client liest all Bléck no der Direktiv, déi en nennt, dofir sinn d'Etiketten wichteger wéi d'Reiefolleg, an där se erschéngen.

Behandelt de zesummegesate Profil als sensibel, bis Dir wierklech dra gekuckt hutt. En ëffentlecht Zertifikat an e private Schlëssel kënnen e puer Zeilen auserneen an der selwechter Datei stoen, an en Ecran-Foto mat dem Header kann alle zwee enthalen. Den sichtbare base64 vun Hand ze iwwersträichen ass och net zouverlässeg, well en deelweis Bléck nach ëmmer d'Zertifikatsmetadaten verroden, déi Är Installatioun nennen. Déi dräi Direktiven ouni hir Wäerter ze kopéieren ass meeschtens du genuch, fir eng nëtzlech Fro ze stellen.

D'Direktive ronderëm d'Bléck entscheeden, wéi se benotzt ginn. Ännert ca an de Client vertraut enger anerer Autoritéit; ännert cert ouni key ze änneren an den Handshake versaget mat enger Onveräinbarkeet, déi näischt mam Vertrauen ze dinn huet.

Den CA-Bléck ass ëffentlech, den CA-Schlëssel ni

Eng Zertifizéierungsautoritéit ënnerschreift Zertifikater, déi en ëffentleche Schlëssel un eng Identitéit bannen, an hiert eegent Zertifikat ass den Anker, mat deem e Client entscheet, ob eng Kette zouverlässeg ass. Dëst Zertifikat ass vun der Konzeptioun hir ëffentlech: et an all Profil matzepaken ass normal, an dofir kann eng selbstschriwwen Installatioun ouni kommerziell Autoritéit funktionéieren.

Wat ni an engem Client-Profil sollt erschéngen, ass de private Schlëssel zum Ënnerschreiwen vun der Autoritéit. De Client brauch en net fir eppes ze validéieren, an seng Präsenz bedeit, datt jiddereen, deen de Profil huet, nei Identitéite fir déi ganz Installatioun ka schafen.

Enger Autoritéit ze vertrauen ass och méi schmuel wéi et kléngt. En Client, deen all Zertifikat akzeptéiert, dat vun der CA ënnerschriwwen ass, akzeptéiert och nach e Zertifikat, dat fir en aneren Déngscht op der selwechter CA ausgestallt gouf. Optiounen, déi déi erwaart Roll oder den Numm vum Server festleeën, schléissen dës Lück, an déi TLS-Optiounsreferenz zielt d'Prüfungsdirektive op, déi dat maachen.

Server- a Client-Zertifikater weisen an entgéintgesate Richtungen

D'Zertifikat vum Server ass dat, wat de Client inspizéiert, fir ze bestätegen, datt en de richtege Schlusspunkt erreecht huet. Äert Client-Zertifikat geet deen anere Wee: de Server benotzt et, fir ze entscheeden, datt dëst Apparat oder dëse Benotzer ee vun deenen ass, déi en agedroen huet. D'selwecht Format, entgéintgesat Vertrauensrichtung.

Eng Adress ass keng Identitéit. Déi richteg IP z'erreechen, beweist näischt doruewer, wien geäntwert huet, dofir gehéiert d'Prüfung vum Hostnumm oder Zertifikatsnumm nach ëmmer zum Profil. E Kontpasswuert ersetzt och net roueg e verlaangt Client-Zertifikat, well déi zwee a verschiddenen Etappe gepréift ginn an eng Installatioun béides ka verlaangen.

De private Schlëssel vum Client ass den Deel, dee privat muss bleiwen. Wann en opgedeckt ka gi sinn, ännert dat Läschen vun der Datei vun Ärem Laptop um Server näischt, deen dat entspriechend Zertifikat nach ëmmer akzeptéiert, bis den Operateur et zréckzitt. Den Operateur froen, dës Identitéit z'ersetzen oder zréckzezéien, ass déi eenzeg Léisung, déi mat Iech reest.

Zwee Ufroen, déi identesch ausgesinn an et net sinn

E Schlëssel, deen an verschlësselter Form gespäichert ass, freet eng Passphrase, éiert de Client en ka benotzen. Den VPN-Service kann separat e Kontpasswuert froen, an déi zwou Ufroen kënnen a Sekonnen-Ofstänn mat bal der selwechter Formuléierung erschéngen. D'Passphrase schützt eng Datei op Ärer Plack; d'Passwuert beweisegt e Kont bei engem Server. Se ze verwiessele schéckt d'Leit zu Passwuert-Zrécksetzungen, déi onméiglech kënnen hëllefen.

Liest d'Ufro, éiert Dir eppes zrécksetzt. Eng Kontpasswuert-Zrécksetzung mécht näischt fir eng vergiesse Passphrase, en zréckgezunn oder en ofgelafe Zertifikat, an d'Passwuert zrécksetzen, wann de Feeler eng Zertifikatsprüfung ass, mécht aus enger Korrektur vun zwou Minutten en Supportfall. Wann d'Beschwéierd Gültegkeetsdatumer nennt, préift fir d'éischt d'Auer vum Apparat an duerno dee genuerten Zertifikat säin eegene Fenster.

Wann d'Zertifikat wierklech ofgelaf ass, muss den Ersatz vun deenen kommen, déi et ausgestallt hunn. E Schlëssel, deen engem aneren gehéiert, ass kee Wee fir d'Erneierung, a vun engem Kolleg e funktionéierende Profil ze léinen ass et och net.

Wat en propperen Handshake beweisegt a wat net

En ofgeschlossenen TLS-Handshake z'erreechen heescht, datt d'konfiguréiert Identitéitsbezéiung gehalen huet: d'Zertifikat vum Server huet sech un Är CA ugeschloss, an Äert Zertifikat gouf akzeptéiert. Et seet näischt iwwer d'Logging-Politik vum Operateur, an näischt doruewer, ob Är Applikatiounen funktionéieren, wann den Tunnel steet.

Route an DNS sinn méi spéit Etappe vun der Verbindung, dofir ass en net erreechbare Intranet-Host no enger erfollegräicher Umeldung e Verbindungsproblem an keen Zertifikatsproblem. Schafft op där Schicht amplaz d'Umeldungsdaten auszetauschen, a haalt den Urspronk vum Profil, säi private Material a seng Identitéitsprüfunge beienee, wann Dir en engem gitt.