Firwat d’Kopéieren vun ca.key op all VPN-Client d’CA zerstéiert
E Client verifizéiert den ëffentleche Zertifikat vun der CA; hie brauch ni de Schlëssel, dee signéiert. ca.key op all Apparat ze kopéieren gëtt d’Ausstellungsrecht un jiddereen, deen eng Kopie hëlt.
Iergendwou an den Installatiounsinstruktioune gëtt en Dossier komplett op all Laptop kopéiert, well et méi einfach war wéi ze entscheeden, wéi eng Fichieren dohinner gehéieren. Dee Dossier enthält ca.key, an an deem Ament, wou en en zweeten Apparat erreecht, ass d’Zertifizéierungsstell keng Autoritéit méi. Jiddereen, deen en hält, kann elo Identitéiten ausstellen, déi de Rescht vum Netzwierk vertraut.
Et ass der Méi wäert, dës Verwirrung eng Kéier opzeléisen, well déi zwou Fichieren ähnlech ausgesinn an dogéint handelen.
Verifikatiounsmaterial an Ënnerschrëftsmaterial
E Client brauch den ëffentlechen Zertifikat vun der CA, fir ze kontrolléieren, datt den Zertifikat, deen eng Géigepartei virleet, vun där Autoritéit ënnerschriwwen ass. Dat ass eng Verifikatiounsaufgab an se brauch absolut kee Geheimnis. Den Zertifikat vun enger Géigepartei ze ënnerschreiwen ass eng aner Aufgab, déi ee Kéier vun deem gemaach gëtt, deen d’CA bedreift, mam privaten Schlëssel, dee säi geschützte Späicher ni verléisst. Dës zwou Aufgabe getrennt ze halen ass de ganze Sënn vun zwee Fichieren.
Also gehéiert ca.crt an de Profil an ca.key gehéiert néierens an d’Noperschaft. D’Fichiersnimm sinn eng Konventioun, keng Garantie, dofir muss den Typ iwwerpréift ginn amplaz en aus dem Numm ofzeleeden.
Eng Architektur mat enger Tësche-CA oder engem Online-Ausstellungsdéngscht ass keng Ausnam. Et ass de Standardwee, fir d’Signéierfäegkeet ewech vun den Endpunkten ze halen an trotzdem Apparatszertifikater am groussen Ëmfang auszestellen.
Wat e Client mat sengem eegene Schlëssel beweise muss
All Apparat kritt säi eegene Schlësselpaar a säin eegene Zertifikat, eng Kéier vun der CA ënnerschriwwen. De Client leet deen Zertifikat vir an beweist, datt hien de passenden private Schlëssel huet, an de Server entscheet, ob hien en akzeptéiert. Dat ass d’Identitéit, déi widderruf gëtt, wann e Laptop verluer geet.
De Kontrast zielt am meeschten no engem Déifstall. Mat Identitéiten pro Apparat gëtt ee bloßgestellte Client duerch Widderruff oder duerch d’Ewechhuele vun der Géigepartei erausgeholl, an de Rescht vun der Flott schafft weider.
E geleeten Autoritéitsschlëssel kann een net sou behandelen. All Zertifikat, deen en je ënnerschriwwen huet oder hätt kënnen ënnerschreiwen, gëtt verdächteg, also ass d’Äntwert en Ersatz vum Vertrauen an net een eenzegen Widderruff. Dat ass e Projet, keen Ticket.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Liest eng Fichier, ier Dir se iergendwouhi kopéiert
Zwee Befehler soen Iech, wéi eng Zort Objet Dir an der Hand hutt, ouni ee Geheimnis ze drécken. Den éischten nennt den Sujet an d’CA-Flagge vun engem Zertifikat; den zweeten validéiert e Schlëssel a mellt säin Typ. Fuert béid op de Fichieren aus, déi am Bündel sinn, deen Dir wëllt verdeelen. Alles, wat als private Schlëssel validéiert, gehéiert net an e Client-Dossier.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Wann den zweete Befehl op enger Fichier geléngt, déi an engem Client-Bündel läit, stoppt a behandelt de Bündel als kompromittéiert. En Output, deen seet, e Schlëssel sief gülteg, seet och, datt en do ass, an d’Presenz ass de ganze Problem.
Beuecht och déi aner Richtung: e Clientprofil enthält legitimerweis de privaten Schlëssel vun deem Client. All fonnte Schlëssel ze läschen, brécht d’Verbindung ouni eppes ze verbesseren, dofir muss den Objet identifizéiert ginn, ier en ewechgeholl gëtt.
E Schlëssel, deen Dir schonn verdeelt hutt, agrenzen
Halt net un, datt d’Läschen vun der lokaler Kopie d’Expositioun ëmdréit. Wien d’Fichier hat, konnt se kopéieren, an d’sécher Unhuele ass, datt hien et gemaach huet. Follegt dem Incidentsprozess vum Bedreiwer a ersetzt de Vertrauensanker, andeems Dir d’Apparatszertifikater ënner enger neier CA nei ausstellt.
Dann ännert d’Verpackung, déi de Problem geschaf huet. Schéckt eng Dossierlëscht mat enger expliziter Lëscht vun erlaabte Fichieren, haalt de CA-Schlëssel op enger Maschinn, déi ni der Clientflott bäitrëtt, a notéiert, wéi ee System en hält.
Wann d’Autoritéit dacks ausstelle muss, verlagert d’Signéieren hannert en Déngscht oder eng Tëschestell mat engem engen Ëmfang a kuerzer Gültegkeet. Sou leet e Feeler an Zukunft eng Ënnermenge vun der Ausstellung op an net d’Vertrauenswurzel vun der ganzer Installatioun.