VPN-നായി സ്വയം-ഒപ്പിട്ടതും പൊതു CA-യും: യഥാർത്ഥത്തിൽ എന്താണ് മാറുന്നത്

നിങ്ങൾ ഒരു VPN സെറ്റപ്പിന്റെ സർട്ടിഫിക്കറ്റ് പേജിലെത്തുന്നു, സൗജന്യ സ്വയം-ഒപ്പിട്ട ഓപ്ഷൻ പണമടച്ച പൊതു CA-യുടെ അടുത്ത് കാണുന്നു, ചോദ്യം സുരക്ഷാ തിരഞ്ഞെടുപ്പുപോലെ തോന്നുന്നു. യഥാർത്ഥത്തിൽ ഇത് പ്രേക്ഷകരുടെ തിരഞ്ഞെടുപ്പാണ്. രണ്ട് ഓപ്ഷനുകളും ഒരേ അടിസ്ഥാന ഘടകങ്ങളാൽ ടണൽ എൻക്രിപ്റ്റ് ചെയ്യുന്നു, സ്വകാര്യ കീ ചോർന്നാൽ രണ്ടും മൂല്യരഹിതമാകും. അവയെ വേർതിരിക്കുന്നത് സർവറിന്റെ ഐഡന്റിറ്റിയെക്കുറിച്ച് ആരാണ് വാദം ഉന്നയിക്കുന്നത്, ആ വാദം പരിശോധിക്കാൻ ആരാണ് സ്ഥാനത്തുള്ളത് എന്നതാണ്.

സർട്ടിഫിക്കറ്റ് ആശയക്കുഴപ്പത്തിലാക്കുന്ന രണ്ട് ജോലികൾ ചെയ്യുന്നു

സർട്ടിഫിക്കറ്റ് ഒരു പൊതു കീയെ ഒരു പേരുമായി ബന്ധിക്കുന്നു, കീ എൻക്രിപ്ഷനും ഒപ്പിടലും ചെയ്യുന്നു. സർട്ടിഫിക്കറ്റിലെ ഒപ്പ് പ്രത്യേക പ്രസ്താവനയാണ്: ഏതോ അധികാരി ആ പേര് ഈ കീ ഉടമയുടേതാണെന്ന് പരിശോധിച്ചിട്ടുണ്ട്. സ്വയം-ഒപ്പിട്ട സർട്ടിഫിക്കറ്റ് ആ പ്രസ്താവന തന്നെക്കുറിച്ച് തന്നെ നടത്തുന്നു, ഇത് മൂന്നാം കക്ഷിയുടെ വാദമല്ല.

പൊതു വെബ്സൈറ്റുകൾക്ക് മൂന്നാം കക്ഷി പതിപ്പ് വേണം, കാരണം സന്ദർശകർ മുൻബന്ധമില്ലാതെ വരുന്നു, ബ്രൗസറിന്റെ വിശ്വാസ സംഭരണിയെ ആശ്രയിക്കുന്നു. VPN ക്ലയന്റ് അപരിചിതനല്ല. നിങ്ങൾ അതിന് CA സർട്ടിഫിക്കറ്റ് നൽകുന്നു, അല്ലെങ്കിൽ ഇൻസ്റ്റാൾ ചെയ്യുന്ന പ്രൊഫൈലിനുള്ളിൽ സർവർ സർട്ടിഫിക്കറ്റ് പിൻ ചെയ്യുന്നു, അതിനാൽ പരിശോധന കൃത്യമായി നിങ്ങൾ തിരഞ്ഞെടുത്ത അധികാരിക്കെതിരെ നടക്കുന്നു. ആ പരിശോധനയ്ക്ക് അർത്ഥമുണ്ടാകാൻ ഏതെങ്കിലും വാണിജ്യ CA ഉൾപ്പെടേണ്ടതില്ല.

ഫലമായുണ്ടാകുന്ന സെഷന്റെ കരുത്ത് കീ വലിപ്പത്തിൽ നിന്നും സൈഫർ സ്യൂട്ടിൽ നിന്നും വരുന്നു, ഒപ്പിടുന്നയാളിൽ നിന്നല്ല. അതുകൊണ്ടാണ് സ്വയം-ഒപ്പിട്ട സർട്ടിഫിക്കറ്റിനെ "കുറഞ്ഞ എൻക്രിപ്റ്റ്" എന്ന് വിളിക്കുന്നത് വെറുതെ തെറ്റായിരിക്കുന്നത്; അത് കുറഞ്ഞ വ്യാപകമായി ഉറപ്പുനൽകുന്നു, അത് മറ്റൊരു സ്വഭാവമാണ്.

പൊതു CA അതിന്റെ ഫീസ് എവിടെ സമ്പാദിക്കുന്നു

ഏറ്റവും വ്യക്തമായ കേസ് അഡ്മിനിസ്ട്രേഷൻ പേജാണ്. സഹപ്രവർത്തകർ, കരാറുകാർ അല്ലെങ്കിൽ തയ്യാറായ പ്രൊഫൈൽ ഇല്ലാത്ത ആരെങ്കിലും ബ്രൗസർ മുന്നറിയിപ്പില്ലാതെ VPN സർവറിന്റെ വെബ് ഇന്റർഫേസ് തുറക്കേണ്ടിവന്നാൽ, പൊതുവിൽ വിശ്വസനീയമായ സർട്ടിഫിക്കറ്റ് ആ ഘർഷണം നീക്കുന്നു. ബ്രൗസർ ഇപ്പോൾ തന്നെ ഒപ്പിടുന്നയാളെ വിശ്വസിക്കുന്നു, അതിനാൽ ഇറക്കുമതി ചെയ്യാനും വിശദീകരിക്കാനും ഒന്നുമില്ല.

ആ സൗകര്യത്തിന് വാങ്ങുന്നതിന് മുൻപ് പേരിടേണ്ട ചെലവുകളുണ്ട്. പുതുക്കൽ ഓട്ടോമേറ്റ് ചെയ്യണം, അല്ലെങ്കിൽ സൈറ്റ് ഒരു ഷെഡ്യൂളിൽ തകരും, പൊതു സർട്ടിഫിക്കറ്റുകൾ സർട്ടിഫിക്കറ്റ് സുതാര്യതാ ലോഗുകളിൽ ഹോസ്റ്റ്നെയിം വെളിപ്പെടുത്തുന്നു, ഇഷ്യൂ നിരക്ക് പരിധികൾ അതിമോഹത്തോടെ വീണ്ടും ശ്രമിക്കുന്ന സ്ക്രിപ്റ്റിനെ ശിക്ഷിക്കുന്നു. ഇവയൊന്നും പൊതു CA ഒഴിവാക്കാനുള്ള കാരണമല്ല, പക്ഷേ ഇത് സ്വകാര്യ CA മറ്റൊരിടത്തേക്ക് മാറ്റുന്ന പ്രവർത്തന ജോലിയാണ്.

പൊതു സർട്ടിഫിക്കറ്റ് ചെയ്യാത്തത് നിങ്ങളുടെ ഉപയോക്താക്കളെ പ്രാമാണീകരിക്കുകയാണ്. ക്ലയന്റ് ഐഡന്റിറ്റി പ്രത്യേക തീരുമാനമാണ്, ക്ലയന്റ് സർട്ടിഫിക്കറ്റുകൾ, പാസ്വേഡുകൾ അല്ലെങ്കിൽ രണ്ടാം ഘടകം ഉപയോഗിച്ച് എടുക്കുന്നു, സർവറിൽ ഒപ്പിടുന്ന CA അതിലേക്ക് ആർക്ക് കണക്ട് ചെയ്യാമെന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല.

സ്വകാര്യ CA VPN-ന് എവിടെ യോജിക്കുന്നു

അറിയപ്പെടുന്ന ക്ലയന്റ് കൂട്ടമുള്ള സ്വകാര്യ VPN-ന് സ്വന്തം CA നടത്തുന്നത് പതിവ് തിരഞ്ഞെടുപ്പാണ്. CA ഒരിക്കൽ സൃഷ്ടിക്കുന്നു, ക്ലയന്റുകൾ ഉപയോഗിക്കുന്ന പേരിൽ സർവർ സർട്ടിഫിക്കറ്റിൽ ഒപ്പിടുന്നു, ഓരോ പ്രൊഫൈലിനുള്ളിലും CA സർട്ടിഫിക്കറ്റ് വിതരണം ചെയ്യുന്നു. പിന്നീട് ഓരോ ക്ലയന്റും നിങ്ങളുടെ അധികാരിക്കെതിരെ സർവർ പരിശോധിക്കുന്നു, പുറത്തുള്ള ആരും ഹോസ്റ്റ്നെയിം അറിയുന്നില്ല.

ചെലവുകൾ യഥാർത്ഥമാണെങ്കിലും പരിമിതമാണ്. ആരെങ്കിലും അഡ്മിൻ പേജ് നേരിട്ട് തുറക്കുമ്പോൾ ബ്രൗസറുകൾ മുന്നറിയിപ്പ് നൽകും, കാരണം നിങ്ങളുടെ CA-യെ വിശ്വസിക്കാൻ ബ്രൗസറിന് കാരണമില്ല. പ്രൊഫൈൽ വിതരണം ഓൺബോർഡിംഗിന്റെ ഭാഗമാകുന്നു, CA കറക്കുന്നത് ഓരോ ക്ലയന്റിനെയും തൊടുന്നു എന്നാണ്. പത്തോ അമ്പതോ അറിയപ്പെടുന്ന ഉപയോക്താക്കളുള്ള സേവനത്തിന് ഇവ സ്വീകാര്യമായ വിലകളാണ്, ആയിരങ്ങളുള്ള പൊതു എൻഡ്പോയിന്റിന് വേദനാജനകവും.

ഒരു വ്യവസ്ഥ മുഴുവൻ ക്രമീകരണത്തെ സാധുവാക്കുന്നു: പരിശോധന നടക്കണം. സർട്ടിഫിക്കറ്റ് പിശകുകൾ അവഗണിക്കാൻ ക്രമീകരിച്ച ക്ലയന്റ് ഏതെങ്കിലും സർട്ടിഫിക്കറ്റ് അവതരിപ്പിക്കുന്ന ഏത് സർവറിനെയും സ്വീകരിക്കുന്നു, അതിനാൽ എൻക്രിപ്ഷൻ നിലനിൽക്കുമ്പോൾ ഐഡന്റിറ്റി ഉറപ്പ് അപ്രത്യക്ഷമാകുന്നു. ആ ക്രമീകരണമാണ് "സ്വയം-ഒപ്പിട്ടത് അസുരക്ഷിതമാണ്" കഥകളിലെ യഥാർത്ഥ ബലഹീനത.

CA-യുടെ സ്വകാര്യ കീ പിന്നീട് എന്ത് ചെയ്യാമെന്ന് തീരുമാനിക്കുന്നു

അത്ഭുതം സാധാരണയായി മാസങ്ങൾക്ക് ശേഷം, ഒരു ഉപകരണം ചേർക്കാൻ ആഗ്രഹിക്കുമ്പോൾ വരുന്നു. ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് നൽകാൻ CA-യുടെ സ്വകാര്യ കീ ആവശ്യമാണ്, റദ്ദാക്കൽ പട്ടിക തയ്യാറാക്കാനും. സർട്ടിഫിക്കറ്റും കീ ഫയലുകളും ഉണ്ടെങ്കിലും CA കീ ഇല്ലാത്ത സർവർ പാരമ്പര്യമായി ലഭിച്ചാൽ പുതിയതൊന്നും ഒപ്പിടാനാകില്ല. നിങ്ങളുടെ ഓപ്ഷനുകൾ PKI പുനർനിർമ്മിച്ച് ഓരോ ക്ലയന്റിനും പുതിയ CA സർട്ടിഫിക്കറ്റ് നൽകുക, അല്ലെങ്കിൽ പാസ്വേഡ് പ്രാമാണീകരണത്തിലേക്ക് മാറുക എന്നതാണ്; അത് വേറെ സുരക്ഷാ മാതൃകയാണ്, നഷ്ടപ്പെട്ടത് തിരികെ നൽകുന്നുമില്ല.

അതേ പ്രദേശത്ത് രണ്ട് ചെറിയ കെണികളുണ്ട്. easy-rsa സ്ക്രിപ്റ്റുകൾ അവ ഉള്ള ഡയറക്ടറിയിൽ നിങ്ങൾ നിൽക്കുന്നു എന്ന് കരുതുന്നു, അതിനാൽ കാണാത്ത ഫയൽ പിശക് സാധാരണയായി തെറ്റായ സ്ഥലത്തെ സൂചിപ്പിക്കുന്നു, കേടായ ഇൻസ്റ്റാളേഷനെയല്ല. സർട്ടിഫിക്കറ്റുകൾ മാത്രം ഉപയോഗിക്കുന്ന രൂപകൽപ്പന പൂർണ്ണമായും നിയമാനുസൃതമാണ്: മുൻകൂട്ടി പങ്കിട്ട കീ ഇല്ലാതെ ക്ലയന്റ് സർട്ടിഫിക്കറ്റുകൾ ആവശ്യപ്പെടാം, ഓരോ ക്ലയന്റിനും ഒന്നുണ്ടെങ്കിൽ സർവർ ചങ്ങല പരിശോധിക്കുന്നുവെങ്കിൽ.

മുഴുവൻ ടീമിനും ഒരു പങ്കിട്ട ക്ലയന്റ് സർട്ടിഫിക്കറ്റിന് പകരം ഓരോ ഉപകരണത്തിനും ഒരു സർട്ടിഫിക്കറ്റ് നൽകുക. അപ്പോൾ നഷ്ടപ്പെട്ട ലാപ്ടോപ്പ് എല്ലാവർക്കും വീണ്ടും നൽകുന്നതിന് പകരം ഒരു റദ്ദാക്കലിൽ മാത്രം ചെലവാകും.

നിങ്ങൾ എന്താണ് പാരമ്പര്യമായി ലഭിച്ചതെന്ന് പരിശോധിക്കുക

ഏതെങ്കിലും മാറ്റം ആസൂത്രണം ചെയ്യുന്നതിന് മുൻപ്, നിങ്ങളുടെ പക്കലുള്ള സർട്ടിഫിക്കറ്റ് വായിക്കുക:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

ഇഷ്യൂ ചെയ്യുന്നയാൾ വിഷയത്തിന് തുല്യമാണെങ്കിൽ സർട്ടിഫിക്കറ്റ് സ്വയം-ഒപ്പിട്ടതാണ്, അത് രൂപകൽപ്പനാ തിരഞ്ഞെടുപ്പാണ്, വീഴ്ചയല്ല. തീയതികൾ പുതുക്കൽ എപ്പോൾ ആരുടെയെങ്കിലും പ്രശ്നമാകുമെന്ന് പറയുന്നു, നിങ്ങൾ അയക്കാൻ ഉദ്ദേശിക്കുന്ന CA-യ്ക്കെതിരെയുള്ള വിജയകരമായ പരിശോധന ഒരു ക്ലയന്റ് പരീക്ഷിക്കുന്നതിന് മുൻപ് ചങ്ങല പ്രവർത്തിക്കുന്നുവെന്ന് സ്ഥിരീകരിക്കുന്നു.

പിന്നീട് പ്രേക്ഷകരും വിതരണവുമനുസരിച്ച് തിരഞ്ഞെടുക്കുക: അപരിചിതരായ ബ്രൗസറുകൾ അഡ്മിൻ പേജ് വിശ്വസിക്കണമെങ്കിൽ പൊതു CA, ഓരോ ക്ലയന്റും നിങ്ങൾ നിയന്ത്രിക്കുന്ന പ്രൊഫൈൽ ലഭിക്കുന്നുവെങ്കിൽ സ്വകാര്യ CA. രണ്ട് ഉത്തരങ്ങളിൽ ഒന്നും മറ്റേതിനേക്കാൾ കൂടുതൽ എൻക്രിപ്റ്റ് ചെയ്തതല്ല.