ഓരോ VPN ക്ലൈന്റിലും ca.key പകർത്തുന്നത് CA-യെ തകർക്കുന്നത് എന്തുകൊണ്ട്
ക്ലൈന്റ് CA-യുടെ പൊതു സർട്ടിഫിക്കറ്റ് പരിശോധിക്കുന്നു; ഒപ്പിടുന്ന കീ അതിന് ഒരിക്കലും ആവശ്യമില്ല. ca.key ഓരോ ഉപകരണത്തിലും പകർത്തുന്നത് ഒരു പകർപ്പ് എടുക്കുന്ന ആർക്കും ഇഷ്യൂ ചെയ്യാനുള്ള അധികാരം നൽകുന്നു.
സെറ്റപ്പ് നിർദ്ദേശങ്ങളിൽ എവിടെയോ, ഏത് ഫയലുകൾ അവിടെ വേണമെന്ന് തീരുമാനിക്കുന്നതിനേക്കാൾ എളുപ്പമായിരുന്നതിനാൽ ഒരു ഡയറക്ടറി മുഴുവനായി ഓരോ ലാപ്ടോപ്പിലേക്കും പകർത്തുന്നു. ആ ഡയറക്ടറിയിൽ ca.key ഉണ്ട്, അത് രണ്ടാമത്തെ ഉപകരണത്തിൽ എത്തുന്ന നിമിഷം സർട്ടിഫിക്കറ്റ് അധികാരി അധികാരിയല്ലാതാകുന്നു. ഇപ്പോൾ ഏതൊരു കൈവശക്കാരനും ബാക്കി നെറ്റ്‌വർക്ക് വിശ്വസിക്കുന്ന ഐഡന്റിറ്റികൾ ഇഷ്യൂ ചെയ്യാം.
ഈ ആശയക്കുഴപ്പം ഒരിക്കൽ അഴിച്ചുവിടുന്നത് മൂല്യവത്താണ്, കാരണം രണ്ട് ഫയലുകളും കാഴ്ചയിൽ സമാനവും പ്രവർത്തനത്തിൽ വിപരീതവുമാണ്.
പരിശോധനാ വസ്തുവും ഒപ്പിടൽ വസ്തുവും
എതിർകക്ഷി അവതരിപ്പിക്കുന്ന സർട്ടിഫിക്കറ്റ് ആ അധികാരി ഒപ്പിട്ടതാണോ എന്ന് പരിശോധിക്കാൻ ക്ലൈന്റിന് CA-യുടെ പൊതു സർട്ടിഫിക്കറ്റ് ആവശ്യമാണ്. ഇത് ഒരു പരിശോധനാ ജോലിയാണ്, ഇതിന് ഒരു രഹസ്യവും ആവശ്യമില്ല. എതിർകക്ഷിയുടെ സർട്ടിഫിക്കറ്റിൽ ഒപ്പിടുന്നത് വേറൊരു ജോലിയാണ്, അത് CA നടത്തുന്നയാൾ ഒരിക്കൽ, തന്റെ സംരക്ഷിത സംഭരണി വിട്ട് പോകാത്ത സ്വകാര്യ കീ ഉപയോഗിച്ച് ചെയ്യുന്നു. ഈ രണ്ട് ജോലികൾ വേർതിരിച്ചു നിർത്തുന്നതാണ് രണ്ട് ഫയലുകൾ നൽകുന്നതിന്റെ മുഴുവൻ ഉദ്ദേശ്യം.
അതിനാൽ ca.crt പ്രൊഫൈലിൽ വരുന്നു, ca.key അതിന് അടുത്ത് എവിടെയും വരുന്നില്ല. ഫയൽ നാമങ്ങൾ ഒരു പതിവാണ്, ഉറപ്പല്ല, അതിനാൽ തരം നാമത്തിൽ നിന്ന് അനുമാനിക്കാതെ പരിശോധിക്കണം.
ഇടനില CA-യോ ഓൺലൈൻ ഇഷ്യൂ സേവനമോ ഉള്ള ആർക്കിടെക്ചർ ഇതിന് അപവാദമല്ല. വലിയ തോതിൽ ഉപകരണ സർട്ടിഫിക്കറ്റുകൾ ഇഷ്യൂ ചെയ്യുമ്പോൾ ഒപ്പിടാനുള്ള കഴിവ് അന്തിമ പോയിന്റുകളിൽ നിന്ന് അകറ്റി നിർത്താനുള്ള സാധാരണ മാർഗമാണിത്.
ക്ലൈന്റ് തന്റെ സ്വന്തം കീ ഉപയോഗിച്ച് എന്ത് തെളിയിക്കണം
ഓരോ ഉപകരണത്തിനും അതിന്റെ സ്വന്തം കീ ജോഡിയും സ്വന്തം സർട്ടിഫിക്കറ്റും ലഭിക്കുന്നു, അതിൽ CA ഒരിക്കൽ ഒപ്പിടുന്നു. ക്ലൈന്റ് ആ സർട്ടിഫിക്കറ്റ് അവതരിപ്പിക്കുകയും അനുബന്ധ സ്വകാര്യ കീ തന്റെ പക്കലുണ്ടെന്ന് തെളിയിക്കുകയും ചെയ്യുന്നു, സർവർ അത് സ്വീകരിക്കണോ എന്ന് തീരുമാനിക്കുന്നു. ലാപ്ടോപ്പ് നഷ്ടപ്പെട്ടാൽ റദ്ദാക്കുന്ന ഐഡന്റിറ്റി ഇതാണ്.
മോഷണത്തിന് ശേഷമാണ് ഈ വ്യത്യാസം ഏറ്റവും പ്രധാനം. ഓരോ ഉപകരണത്തിനും പ്രത്യേക ഐഡന്റിറ്റി ഉള്ളപ്പോൾ വെളിപ്പെട്ട ഒരു ക്ലൈന്റിനെ റദ്ദാക്കലിലൂടെയോ എതിർകക്ഷിയെ നീക്കം ചെയ്യുന്നതിലൂടെയോ മാറ്റാം, ബാക്കി ഉപകരണക്കൂട്ടം പ്രവർത്തനം തുടരും.
ചോർന്ന അധികാരി കീയെ ഇങ്ങനെ കൈകാര്യം ചെയ്യാനാവില്ല. അത് ഇതുവരെ ഒപ്പിട്ടതോ ഒപ്പിടാനാകുമായിരുന്നതോ ആയ എല്ലാ സർട്ടിഫിക്കറ്റുകളും സംശയാസ്പദമാകുന്നു, അതിനാൽ പ്രതികരണം ഒരൊറ്റ റദ്ദാക്കലല്ല, വിശ്വാസം പകരുന്നതാണ്. ഇതൊരു പ്രോജക്ടാണ്, ടിക്കറ്റല്ല.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
ഒരു ഫയൽ എവിടെയെങ്കിലും പകർത്തുന്നതിന് മുൻപ് അത് വായിക്കുക
രണ്ട് കമാൻഡുകൾ ഒരു രഹസ്യവും അച്ചടിക്കാതെ നിങ്ങളുടെ കൈയിൽ ഏത് തരം വസ്തുവാണെന്ന് പറയുന്നു. ആദ്യത്തേത് സർട്ടിഫിക്കറ്റിലെ വിഷയവും CA ഫ്ലാഗും പറയുന്നു; രണ്ടാമത്തേത് കീ പരിശോധിച്ച് അതിന്റെ തരം റിപ്പോർട്ട് ചെയ്യുന്നു. നിങ്ങൾ വിതരണം ചെയ്യാൻ പോകുന്ന ബണ്ടിലിലെ ഫയലുകളിൽ രണ്ടും പ്രവർത്തിപ്പിക്കുക. സ്വകാര്യ കീയായി സാധുവാകുന്ന യാതൊന്നും ക്ലൈന്റ് ഡയറക്ടറിയിൽ ഉണ്ടാകരുത്.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
ക്ലൈന്റ് ബണ്ടിലിലുള്ള ഒരു ഫയലിൽ രണ്ടാമത്തെ കമാൻഡ് വിജയിച്ചാൽ, നിർത്തി ആ ബണ്ടിൽ വിട്ടുകൊടുത്തതായി കണക്കാക്കുക. കീ സാധുവാണെന്ന് പറയുന്ന ഔട്ട്പുട്ട് അത് ഉണ്ടെന്നും പറയുന്നു, അതിന്റെ സാന്നിധ്യമാണ് മുഴുവൻ പ്രശ്നം.
എതിർദിശയും ശ്രദ്ധിക്കുക: ക്ലൈന്റ് പ്രൊഫൈലിൽ ആ ക്ലൈന്റിന്റെ സ്വന്തം സ്വകാര്യ കീ നിയമാനുസൃതമായി ഉണ്ട്. കണ്ടെത്തുന്ന എല്ലാ കീയും മായ്ക്കുന്നത് ഒന്നും മെച്ചപ്പെടുത്താതെ ബന്ധം വിച്ഛേദിക്കും, അതിനാൽ നീക്കം ചെയ്യുന്നതിന് മുൻപ് വസ്തുവിനെ തിരിച്ചറിയണം.
ഇതിനകം വിതരണം ചെയ്ത കീയെ നിയന്ത്രിക്കൽ
പ്രാദേശിക പകർപ്പ് മായ്ക്കുന്നത് വെളിപ്പെടുത്തൽ പഴയപടിയാക്കുമെന്ന് കരുതരുത്. ഫയൽ കൈവശമുണ്ടായിരുന്ന ആർക്കും അത് പകർത്താമായിരുന്നു, സുരക്ഷിതമായ അനുമാനം അത് പകർത്തി എന്നതാണ്. ഓപ്പറേറ്ററുടെ സംഭവ പ്രക്രിയ പിന്തുടർന്ന് വിശ്വാസ ആങ്കർ മാറ്റുക, പുതിയ CA-ക്ക് കീഴിൽ ഉപകരണ സർട്ടിഫിക്കറ്റുകൾ വീണ്ടും ഇഷ്യൂ ചെയ്തുകൊണ്ട്.
പിന്നീട് പ്രശ്നം സൃഷ്ടിച്ച പാക്കേജിംഗ് മാറ്റുക. ഫയലുകളുടെ വ്യക്തമായ അനുവദനീയ പട്ടികയോടെ ഡയറക്ടറി ലിസ്റ്റ് അയക്കുക, CA കീ ക്ലൈന്റ് കൂട്ടത്തിൽ ഒരിക്കലും ചേരാത്ത യന്ത്രത്തിൽ സൂക്ഷിക്കുക, ഏത് സിസ്റ്റം അത് സൂക്ഷിക്കുന്നു എന്ന് രേഖപ്പെടുത്തുക.
അധികാരിക്ക് പലപ്പോഴും ഇഷ്യൂ ചെയ്യേണ്ടിവന്നാൽ, ഒപ്പിടൽ ഇടുങ്ങിയ പരിധിയും ചെറിയ സാധുതയുമുള്ള ഒരു സേവനത്തിന്റെയോ ഇടനില അധികാരിയുടെയോ പിന്നിലേക്ക് മാറ്റുക. അങ്ങനെ ഭാവിയിലെ ഒരു പിഴവ് മുഴുവൻ വിന്യാസത്തിന്റെ വിശ്വാസ മൂലത്തെയല്ല, ഇഷ്യൂവിന്റെ ഒരു ഭാഗത്തെ മാത്രം വെളിപ്പെടുത്തും.