OpenVPN profilā ir trīs sertifikātu bloki: kurš ir slepens?

Jūs atverat .ovpn failu, lai mainītu vienu rindu, un atrodat trīs base64 blokus, kas visi izskatās kā pieteikšanās dati. Vienu ir droši publicēt, otrs ir tikpat jutīgs kā parole, bet trešais ir publiskā atslēga, kurai nav nozīmes, ja vien kaut kas cits nav parakstīts ar tās pāri. Cilvēki ielīmē visu failu atbalsta sarunā, jo bloki šķiet aizstājami, un tā klienta atslēga nonāk publiskā arhīvā. Noskaidrojot, ko dara katrs bloks, izskaidrojama lielākā daļa neskaidrību ap šiem profiliem, un tas arī pasaka, kuri bojājumi jālabo pašam.

Viens fails, trīs bloki, dažādi darbi

Tipisks profils iekļauj ca bloku, cert bloku un key bloku starp BEGIN un END marķieriem vai norāda uz tiem pašiem trim kā atsevišķiem failiem. Daži profili pievieno ceturto bloku tls-auth vai tls-crypt atslēgai, kas ir kopīgs noslēpums, nevis sertifikāts. Klients lasa katru bloku saskaņā ar direktīvu, kas to nosauc, tāpēc etiķetes ir svarīgākas par parādīšanās secību.

Uzskatiet salikto profilu par jutīgu, līdz tiešām esat ieskatījies tajā. Publisks sertifikāts un privātā atslēga var atrasties dažu rindu attālumā tajā pašā failā, un ekrānuzņēmums ar virsrakstu var ietvert abus. Arī redzamā base64 aizklāšana ar roku nav uzticama, jo daļējs bloks joprojām noplūdina sertifikāta metadatus, kas nosauc jūsu izvietojumu. Trīs direktīvu kopēšana bez to vērtībām parasti ir pietiekama lietderīgam jautājumam.

Direktīvas ap blokiem nosaka, kā tie tiek izmantoti. Nomainiet ca, un klients uzticas citai iestādei; nomainiet cert, nemainot key, un rokasspiediens neizdodas ar neatbilstību, kam nav nekāda sakara ar uzticēšanos.

CA bloks ir publisks, CA atslēga — nekad

Sertifikātu iestāde paraksta sertifikātus, kas saista publisko atslēgu ar identitāti, un tās pašas sertifikāts ir enkurs, pēc kura klients lemj, vai ķēde ir uzticama. Šis sertifikāts ir publisks pēc konstrukcijas: to iekļaut katrā profilā ir normāli, un tieši tāpēc pašparakstīts izvietojums var darboties bez komerciālas iestādes.

Tas, kam nekad nevajadzētu parādīties klienta profilā, ir iestādes privātā parakstīšanas atslēga. Klientam tā nav vajadzīga nekam, un tās klātbūtne nozīmē, ka ikviens, kam ir profils, var radīt jaunas identitātes visam izvietojumam.

Uzticēšanās iestādei arī ir šaurāka, nekā izklausās. Klients, kas pieņem jebkuru CA parakstītu sertifikātu, joprojām pieņems sertifikātu, kas izsniegts citam pakalpojumam tajā pašā CA. Opcijas, kas nofiksē gaidīto servera lomu vai nosaukumu, aizver šo plaisu, un TLS opciju uzziņa uzskaita pārbaudes direktīvas, kas to dara.

Servera un klienta sertifikāti rāda pretējos virzienos

Servera sertifikāts ir tas, ko klients pārbauda, lai apstiprinātu, ka ir sasniedzis pareizo galapunktu. Jūsu klienta sertifikāts darbojas otrādi: serveris to izmanto, lai lemtu, ka šī ierīce vai lietotājs ir viens no tā reģistrētajiem. Tāds pats formāts, pretējs uzticēšanās virziens.

Adrese nav identitāte. Sasniegt pareizo IP vēl neko nepierāda par to, kas atbildēja, tāpēc resursdatora vai sertifikāta nosaukuma pārbaude joprojām pieder profilam. Arī konta parole klusi neaizstāj prasīto klienta sertifikātu, jo abi tiek pārbaudīti dažādos posmos, un izvietojums var prasīt abus.

Klienta privātā atslēga ir daļa, kurai jāpaliek privātai. Ja tā, iespējams, ir atklāta, faila dzēšana no jūsu klēpjdatora serverī neko nemaina, un tas turpinās pieņemt attiecīgo sertifikātu, līdz operators to atsauc. Lūgt operatoram aizstāt vai atsaukt šo identitāti ir vienīgais risinājums, kas ceļo kopā ar jums.

Divi pieprasījumi, kas izskatās vienādi un nav

Šifrētā formā glabāta atslēga pieprasa frāzi, pirms klients to var izmantot. VPN pakalpojums var atsevišķi pieprasīt konta paroli, un abi pieprasījumi var parādīties dažu sekunžu attālumā ar gandrīz vienu un to pašu formulējumu. Frāze aizsargā failu jūsu diskā; parole pierāda kontu serverim. To sajaukšana sūta cilvēkus uz paroles atiestatīšanu, kas nekādi nevar palīdzēt.

Izlasi pieprasījumu, pirms kaut ko atiestati. Konta paroles atiestatīšana neko nedara aizmirstai atslēgas frāzei, atsauktam vai beigušam sertifikātam, un paroles atiestatīšana, kad bojājums ir sertifikāta pārbaude, divu minūšu labojumu pārvērš atbalsta gadījumā. Ja sūdzībā minēti derīguma datumi, vispirms pārbaudi ierīces pulksteni un pēc tam minētā sertifikāta paša logu.

Kad sertifikāts tiešām ir beidzies, aizvietotājam jānāk no tā, kas to izsniedza. Cita cilvēka atslēga nav atjaunošanas ceļš, un arī kolēģa darba profila aizņemšanās nav.

Ko pierāda tīrs rokasspiediens un ko ne

Sasniegt pabeigtu TLS rokasspiedienu nozīmē, ka konfigurētā identitātes attiecība ir izturējusi: servera sertifikāts saistījās ar jūsu CA, un jūsu sertifikāts tika pieņemts. Tas neko nepasaka par operatora žurnālu politiku, ne arī par to, vai jūsu lietotnes darbosies, kad tunelis būs pacelts.

Maršruti un DNS ir vēlāki savienojuma posmi, tāpēc nesasniedzams iekštīkla resursdators pēc veiksmīgas pieteikšanās ir savienojuma, nevis sertifikāta problēma. Strādājiet ar šo slāni, nevis mainiet pieteikšanās datus, un, nododot profilu kādam, turiet kopā tā izcelsmi, privāto materiālu un identitātes pārbaudes.