IKEv2-д хоёр гарын үсэг байдаг: гэрчилгээ ба IKE_AUTH
CA гэрчилгээнд гарын үсэг зурж, зэрэглэгч өөрийн IKE_AUTH солилцоонд өөрийн схемээр гарын үсэг зурна. Тус бүрийг өөрийн талбараас уншиж, хоёуланг нь бүртгээрэй.
Таны тасалбар гэрчилгээг SHA-256 гэж хэлж байхад гарцын бүртгэл өөр гарын үсгийн алгоритм нэрлэж, хэн нэгэн CA-г дахин гаргах хүсэлтийг аль хэдийн бэлдсэн байна. Тэр хүсэлт хаашаа ч явахаас өмнө хоёр гарын үсгийг салгаарай: нэг нь олгогчийн нийтийн түлхүүр дээрх тамга, нөгөө нь IKE_AUTH-ийн үеэр зэрэглэгч тохирох хувийн түлхүүртэйгээ нотлох баримт. Тэдгээрийг өөр өөр бүрэлдэхүүн хэсэг сонгодог бөгөөд ялгаатай байхыг зөвшөөрдөг. Тус бүрийг амьдардаг газраас нь уншихад хоёр команд, нэг хүснэгт хэрэгтэй.
Олгогчийн гарын үсгийг гэрчилгээнээс уншаарай
CA өөрийн гарын үсгийг таних тэмдэг ба түлхүүрийн хоорондын холбоос дээр тавьдаг. Тэр гарын үсэг нь CA олголтын үед юу хийснийг бүртгэдэг, субъект холбогдох үед юу хийхийг биш, тиймээс түүний алгоритм нь CA-гийн өөрийн хэш ба түлхүүрийн сонголтыг дүрсэлдэг. Нэг төрлийн субъектийн түлхүүр өөр төрлийн CA түлхүүрийн дор ямар ч зөрчилгүй байж болох бөгөөд CA түлхүүрийг эргүүлэх нь гэмтэл биш, ердийн ажил юм. Хоёр талбарыг уншвал жагсаалтын хагас таньд байна:
openssl x509 -in peer.pem -noout -text | grep -E "Signature Algorithm|Public Key Algorithm"Хоёр шошгыг тусдаа бичлэг болгон бичээрэй. Эхнийх нь CA-г, хоёр дахь нь субъектийн түлхүүрийг дүрсэлдэг бөгөөд аль нь ч онлайн гарын үсгийг урьдчилан таамаглахгүй.
Онлайн гарын үсгийг IKE солилцооноос уншаарай
Баталгаажуулалтын үеэр зэрэглэгч бүр солилцооны өгөгдөлд өөрийн хувийн түлхүүрээр гарын үсэг зурж, нөгөө тал тэр нотолгоог гэрчилгээний таних тэмдэг, итгэлийн хэлхээ, бодлоготой харьцуулан шалгадаг. RSA-д дүүргэлт ба хэш нь энэ онлайн схемд хамаардаг тул илүү урт түлхүүр эсвэл шинэ SHA-256 гэрчилгээ нь баталгаажуулалтын гарын үсэгт RSA-PSS-ийг өөрөө сонгож чадахгүй. Хэлэлцээр хийсэн арга нь демоны бүртгэл эсвэл түүний холболтын жагсаалтад харагдана, гэрчилгээнд хэзээ ч үгүй. Хоёр чиглэл ялгаатай байж болох тул тал бүрээс юу хэлэлцсэнийг асуугаарай.
ipsec statusall | grep -i "auth\|proposal"Нэг тал нөгөө талын бүтээж чадахгүй схемийг нэрлэхэд та тасалбарын тухай байсан зөрүүг олсон байна. CA-г дахин гаргах нь түүнд буруу засвар, учир нь бүтэлгүйтсэн зүйл нь гэрчилгээ хэзээ ч байгаагүй.
RFC 7427 юу өөрчлөх, юу өөрчлөхгүй
Анхны аргууд нь RFC 7296-д алгоритмын хослол бүрээр дугаарлагдсан. Хожуу гарсан RFC 7427 гарын үсгийн өргөтгөл нь гарын үсгийн хэшийн дэмжлэгийг дохиолдог ерөнхий Digital Signature аргыг нэмдэг тул шинэ хэшэд өөрийн аргын дугаар хэрэггүй болсон. Үүнийг хэлэлцдэг, таамагладаггүй: зэрэглэгч өөрийн сан ижил гэрчилгээг задлан шинжилж чаддаг учраас өргөтгөлийг олж авдаггүй, зөвхөн анхны аргуудыг хэрэгжүүлдэг зэрэглэгч гарцыг тэдгээрийн нэгийг үлдээхийг албаддаг. Энэ нь нийцлийн зардалтай бодлогын солилцоо, гэмтэл биш.
Дэмжлэг нь чиглэл бүр, холболт бүрээр, тиймээс гэр бүлийн түвшний мэдэгдэлд итгэхийн оронд өмнө чинь байгаа бүтцийг туршаарай. Гурван жилийн өмнө бичигдсэн чадварын матриц гурван жилийн настай бүтцүүдийг дүрсэлдэг.
Жагсаалтад дөрвөн мөр оруулаарай
Маргааныг дуусгах бичлэг дөрвөн мөртэй, мөр бүр өөр газар уншигдаж, мөр бүрийг өөр хүн өөрчилсөн. Юу ч шийдэхээс өмнө бөглөөрэй, учир нь алдаатай мөр нь засварыг сонгодог.
| Объект | Хаанаас унших | Хэн өөрчилдөг |
|---|---|---|
| гэрчилгээ олгогчийн гарын үсэг | гэрчилгээний Signature Algorithm талбар | CA оператор, олголтын үед |
| субъектийн нийтийн түлхүүр | гэрчилгээний Public Key Algorithm талбар | субъектийн түлхүүрийг үүсгэдэг хүн |
| IKE баталгаажуулалтын схем | демоны бүртгэл эсвэл холболтын жагсаалт, auth ба signature-hash мэдэгдэл | хоёр зэрэглэгч дээрх IKE профайл |
| IKE ба ESP хамгаалалтын алгоритмууд | холболтын саналын жагсаалт | IPsec профайл, чиглэлээр |
Мөр бүр өөрийн нийцлийн үр дагаврыг агуулна. ESP шифрийн өөрчлөлт олгогчийн гарын үсгийг сонгохгүй, CA-гийн шалгалтыг сулруулах нь зэрэглэгчдийн хэзээ ч хэлэлцээгүй онлайн аргыг нэмэхгүй. Тасалбар гарын үсгийн зөрүүг батлах үед үнэхээр алдаатай мөр бараг хэзээ ч эхнийх биш.
PKI-г сулруулахгүйгээр хуучин тохиолдлыг шийдээрэй
Хуучин зэрэглэгч таны бодлого цаашид зөвшөөрөхгүй схемыг л санал болгож магадгүй. Сонголтууд нь хугацаатай нийцлийн үл хамаарах зүйл, клиентийн шинэчлэл, эсвэл зөвхөн тэр зэрэглэгчид зориулсан өөр баталгаажуулалтын зохион байгуулалт юм. Сул гэрчилгээний гарын үсгийг тойруулан PKI-г дахин барих нь онлайн солилцооны хязгаарлалтыг засдаггүй бөгөөд ижил CA-д итгэдэг бусад бүх үйлчилгээг сулруулдаг. Аль мөрийг өөрчилсөн, үл хамаарах зүйл хэзээ дуусахыг бүртгээрэй.
Дараа нь хоёр уншилтыг дээрээс нь дахин ажиллуулаарай, учир нь нэг мөр дэх өөрчлөлт нөгөөд хэлэлцэгдэхийг зөөж болно. Бүх жагсаалт нь хоёр команд ба нэг хүснэгт бөгөөд зэрэглэгч чиглүүлэгч, зөөврийн компьютер эсвэл төхөөрөмж байсан ч ажил ижил.