Selbstsignéiert vs. ëffentlech CA fir eng VPN: wat wierklech ännert

Dir erreecht d'Zertifikatssäit vun enger VPN-Astellung, gesitt eng gratis selbstsignéiert Optioun niewent enger bezuelter ëffentlecher CA, an d'Fro kléngt wéi eng Sécherheetsentscheedung. Et ass wierklech eng Publikumsentscheedung. Béid Optioune verschlësselen den Tunnel mat deene selwechte primitive Bausteng, a béid ginn wäertlos wann de private Schlëssel leckt. Wat se trennt ass wien d'Behautung iwwer d'Identitéit vum Server mécht an wien an der Positioun ass déi Behautung ze kontrolléieren.

En Zertifikat mécht zwou Aarbechten déi verwiesselt ginn

En Zertifikat bënnt en ëffentleche Schlëssel un en Numm, an de Schlëssel mécht d'Verschlësselungs- an Ënnerschrëftsaarbecht. D'Ënnerschrëft um Zertifikat ass eng separat Erklärung: eng Autoritéit huet gepréift datt den Numm zu dësem Schlësselbesëtzer gehéiert. En selbstsignéiert Zertifikat mécht déi Erklärung iwwer sech selwer, wat guer keng Behautung vun enger drëtter Partei ass.

Ëffentlech Websäite brauchen d'Versioun vun enger drëtter Partei, well Besuchern ouni virleefeg Bezéiung kommen a sech op de Vertrauensspäicher vum Browser verloossen. En VPN-Client ass keen Friemen. Dir gitt him den CA-Zertifikat, oder pinnet den Zertifikat vum Server, bannent dem Profil deen en installéiert, sou datt d'Verifikatioun géint genau déi Autoritéit leeft déi Dir gewielt hutt. Keng kommerziell CA muss bedeelegt sinn fir datt déi Kontroll eppes bedeit.

D'Kraaft vun der resultéierender Sessioun kënnt vun der Schlësselgréisst an der Verschlësselungssuite, net vum Ënnerschrëfter. Dofir ass et einfach falsch en selbstsignéiert Zertifikat "manner verschlësselt" ze nennen; et ass manner wäit garantéiert, wat eng aner Eegeschaft ass.

Wou eng ëffentlech CA hir Tax verdéngt

Den hellste Fall ass d'Administratiounssäit. Wann Kollegen, Kontrakteuren oder iergendeen ouni virbereete Profil d'Webinterface vum VPN-Server mussen opmaachen ouni Browserwarnung, dann hëlt en ëffentlech vertraute Zertifikat déi Reiwung ewech. De Browser vertraut schonn dem Ënnerschrëfter, also gëtt et näischt ze importéieren an näischt z'erklären.

Dës Bequemlechkeet huet Käschten déi et wäert ass se virum Kaf ze nennen. D'Erneierung muss automatiséiert ginn, soss brécht d'Säit no engem Zäitplang, ëffentlech Zertifikater entdecken den Hostnumm an den Transparenzprotokoller fir Zertifikater, an d'Ausgabratenlimiten bestrofen e Skript dat ze äifreg erëm probéiert. Nee vun deene ass e Grond eng ëffentlech CA ze vermeiden, awer et ass operationell Aarbecht déi eng privat CA soss wouhi verleeët.

Wat en ëffentlechen Zertifikat net mécht ass Är Benotzer z'authentifizéieren. D'Identitéit vum Client ass eng separat Entscheedung, getraff mat Clientzertifikater, Passwierder oder engem zweete Faktor, an d'CA déi de Server ënnerschreift seet näischt driwwer wien sech domat ka verbannen.

Wou eng privat CA an eng VPN passt

Fir eng privat VPN mat enger bekannter Rei vu Clienten ass et déi konventionell Wiel eng eege CA ze bedreiwen. Dir erstellt d'CA eemol, ënnerschreift den Zertifikat vum Server mat engem Numm deen d'Cliente wäerte benotzen, an verdeelt den CA-Zertifikat bannent all Profil. Duerno verifizéiert all Client de Server géint Är Autoritéit, a keng bausse Partei léiert den Hostnumm kennen.

D'Käschte si real awer begrenzt. Browsere wäerten warnen wann een d'Administratiounssäit direkt opmécht, well de Browser kee Grond huet Ärer CA ze vertrauen. D'Verdeelung vun de Profiler gëtt Deel vum Onboarding, an d'CA ze wiesselen heescht all Client unzegräifen. Dat si akzeptabel Präisser fir en Déngscht mat zéng oder fofzeg bekannten Notzer a schmerzhaft fir en ëffentlechen Endpunkt mat Dausenden.

Eng Konditioun mécht de ganze Setup valabel: d'Verifikatioun muss geschéien. En Client deen agestallt ass Zertifikatsfeeler z'ignoréieren akzeptéiert all Server deen iergendeen Zertifikat presentéiert, sou datt d'Identitéitsgarantie verschwënnt wärend d'Verschlësselung bleift. Déi Astellung ass déi tatsächlech Schwächt an de meeschte Geschichten vun "selbstsignéiert ass onsécher".

De private Schlëssel vun der CA entscheet wat Dir méi spéit kënnt maachen

D'Iwwerraschung kënnt meeschtens Méint méi spéit, wann Dir en Apparat wëllt bäifügen. Fir en Clientzertifikat auszeginn braucht een de private Schlëssel vun der CA, an dat selwecht gëllt fir eng Widderrufflëscht ze produzéieren. Wann Dir e Server iwwerholl hutt deen d'Zertifikats- an Schlësselfichieren huet awer net de CA-Schlëssel, kënnt Dir näischt Neies ënnerschreiwen. Är Méiglechkeete si fir d'PKI nei opzebauen an all Client en neien CA-Zertifikat ze ginn, oder op Passwuertauthentifizéierung ëmzestellen, wat en anert Sécherheetsmodell ass an dat Verluerenes net erëmbréngt.

Zwou méi kleng Fallen liewen am selwechten Terrain. D'easy-rsa Skripte ginn dovun aus datt Dir an dem Verzeechnis steet dat se enthält, also bedeit e Feeler iwwer eng feelend Fichier meeschtens déi falsch Plaz an net eng beschiedegt Installatioun. An en Design deen nëmmen op Zertifikater baséiert ass komplett legitim: Dir kënnt Clientzertifikater verlaangen ouni virdeelten Schlëssel, soulaang all Client een huet an de Server d'Kette verifizéiert.

Gitt ee Zertifikat pro Apparat aus amplaz ee gedeelte Clientzertifikat fir d'ganz Team. En verluerene Laptop kascht Iech dann eng eenzeg Widderruffung amplaz enger Neiausgab fir jiddereen.

Kuckt wat Dir iwwerholl hutt

Ier Dir iergendeng Ännerung plangt, liest den Zertifikat deen Dir schonn hutt:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Wann den Aussteller gläich dem Sujet ass, ass den Zertifikat selbstsignéiert, wat eng Designwiel an keen Defekt ass. D'Datumen soen Iech wéini d'Erneierung iergendeem säi Problem gëtt, an eng erfollegräich Verifikatioun géint d'CA déi Dir wëllt liwweren bestätegt datt d'Kette funktionéiert ier een eenzege Client se probéiert.

Dann wielt no Publikum a Verdeelung: ëffentlech CA wann onbekannte Browsere mussen der Administratiounssäit vertrauen, privat CA wann all Client e Profil kritt deen Dir kontrolléiert. Keng vun den zwou Äntwerten ass méi verschlësselt wéi déi aner.