OpenVPN profilyje yra trys sertifikatų blokai: kuris yra slaptas?

Atidarote .ovpn failą, kad pakeistumėte vieną eilutę, ir randate tris base64 blokus, kurie visi atrodo kaip prisijungimo duomenys. Vieną saugu paskelbti, kitas jautrus kaip slaptažodis, o trečias yra viešasis raktas, kuris nieko nereiškia, jei kažkas kita nebuvo pasirašyta jo pora. Žmonės įklijuoja visą failą į pagalbos giją, nes blokai atrodo keičiami, ir taip kliento raktas atsiduria viešame archyve. Išsiaiškinus, ką daro kiekvienas blokas, paaiškėja didžioji dalis painiavos dėl šių profilių, ir tai taip pat pasako, kuriuos gedimus turite taisyti patys.

Vienas failas, trys blokai, skirtingi darbai

Įprastas profilis įterpia ca bloką, cert bloką ir key bloką tarp BEGIN ir END žymeklių arba nurodo tuos pačius tris kaip atskirus failus. Kai kurie profiliai prideda ketvirtą bloką tls-auth arba tls-crypt raktui, kuris yra bendra paslaptis, o ne sertifikatas. Klientas skaito kiekvieną bloką pagal jį įvardijančią direktyvą, todėl etiketės svarbesnės už jų pasirodymo tvarką.

Traktuokite surinktą profilį kaip jautrų, kol tikrai nepažvelgėte į vidų. Viešas sertifikatas ir privatusis raktas tame pačiame faile gali būti kelių eilučių atstumu, o ekrano kopija su antrašte gali apimti abu. Rankiniu būdu uždengti matomą base64 taip pat nepatikima, nes dalinis blokas vis tiek nutekina sertifikato metaduomenis, įvardijančius jūsų diegimą. Nukopijuoti tris direktyvas be jų verčių paprastai pakanka naudingam klausimui užduoti.

Direktyvos aplink blokus nusprendžia, kaip jie naudojami. Pakeiskite ca ir klientas pasitiki kita institucija; pakeiskite cert nepakeitę key ir rankos paspaudimas nepavyksta dėl neatitikimo, kuris neturi nieko bendra su pasitikėjimu.

CA blokas yra viešas, CA raktas niekada

Sertifikatų institucija pasirašo sertifikatus, kurie sieja viešąjį raktą su tapatybe, o jos pačios sertifikatas yra inkaras, pagal kurį klientas sprendžia, ar grandinė patikima. Šis sertifikatas yra viešas iš prigimties: siųsti jį kiekviename profilyje yra normalu, ir dėl to savarankiškai pasirašytas diegimas gali veikti be komercinės institucijos.

Tai, kas niekada neturi pasirodyti kliento profilyje, yra institucijos privatusis pasirašymo raktas. Klientui jo nereikia niekam tikrinti, o jo buvimas reiškia, kad bet kas, turintis profilį, gali sukurti naujas tapatybes visam diegimui.

Pasitikėjimas institucija taip pat siauresnis, nei skamba. Klientas, priimantis bet kurį CA pasirašytą sertifikatą, vis tiek priims sertifikatą, išduotą kitai paslaugai toje pačioje CA. Parinktys, užfiksuojančios laukiamą serverio vaidmenį ar vardą, uždaro šią spragą, o TLS parinkčių nuoroda išvardija tikrinimo direktyvas, kurios tai daro.

Serverio ir kliento sertifikatai rodo priešingomis kryptimis

Serverio sertifikatas yra tai, ką klientas tikrina, kad patvirtintų, jog pasiekė tinkamą galinį tašką. Jūsų kliento sertifikatas veikia priešingai: serveris juo naudojasi, kad nuspręstų, jog šis įrenginys ar naudotojas yra jo užregistruotas. Ta pati forma, priešinga pasitikėjimo kryptis.

Adresas nėra tapatybė. Pasiekti tinkamą IP nieko neįrodo apie tai, kas atsakė, todėl prieglobos vardo ar sertifikato vardo tikrinimas vis dar priklauso profiliui. Paskyros slaptažodis taip pat tyliai nepakeičia reikalaujamo kliento sertifikato, nes abu tikrinami skirtingais etapais, o diegimas gali reikalauti abiejų.

Kliento privatusis raktas yra dalis, kuri turi likti privati. Jei jis galėjo būti atskleistas, failo ištrynimas iš nešiojamojo kompiuterio nieko nepakeis serveryje, kuris toliau priims atitinkamą sertifikatą, kol operatorius jį atšauks. Paprašyti operatoriaus pakeisti ar atšaukti šią tapatybę yra vienintelis sprendimas, kuris keliauja su jumis.

Du raginimai, kurie atrodo vienodi ir nėra tokie

Užšifruota forma saugomas raktas prašo slaptafrazės, kol klientas galės jį naudoti. VPN paslauga gali atskirai paprašyti paskyros slaptažodžio, ir abu raginimai gali pasirodyti su kelių sekundžių pertrauka beveik tais pačiais žodžiais. Slaptafrazė saugo failą jūsų diske; slaptažodis įrodo paskyrą serveriui. Juos supainiojus žmonės siunčiami į slaptažodžių atkūrimus, kurie niekaip negali padėti.

Perskaitykite raginimą prieš ką nors atkurdami. Paskyros slaptažodžio atkūrimas nieko nedaro dėl pamirštos rakto slaptafrazės, atšaukto ar pasibaigusio sertifikato, o slaptažodžio atkūrimas, kai gedimas yra sertifikato tikrinimas, dviejų minučių pataisą paverčia pagalbos atveju. Jei skunde minimos galiojimo datos, pirmiausia patikrinkite įrenginio laikrodį, o paskui nurodyto sertifikato savo laiko langą.

Kai sertifikatas tikrai pasibaigė, pakaitalas turi ateiti iš to, kas jį išdavė. Kito asmens raktas nėra atnaujinimo kelias, o pasiskolintas veikiantis profilis iš kolegos taip pat ne.

Ką įrodo švarus rankos paspaudimas, o ko ne

Pasiekti užbaigtą TLS rankos paspaudimą reiškia, kad sukonfigūruotas tapatybės ryšys išsilaikė: serverio sertifikatas susijungė su jūsų CA, o jūsų sertifikatas buvo priimtas. Tai nieko nesako apie operatoriaus registravimo politiką ir nieko apie tai, ar jūsų programos veiks, kai tunelis bus pakeltas.

Maršrutai ir DNS yra vėlesni ryšio etapai, todėl neprieinamas intraneto mazgas po sėkmingo prisijungimo yra ryšio, o ne sertifikato problema. Dirbkite su tuo sluoksniu, o ne keiskite prisijungimo duomenis, ir perduodami profilį kam nors laikykite kartu jo kilmę, privačią medžiagą ir tapatybės patikras.