CAгүй OpenVPN: peer-fingerprint хэрхэн түншүүдийг баталгаажуулдаг
Хурууны хээ нэг гэрчилгээг бэхэлдэг, хуваалцсан нууцыг биш. Хураангуй юуг хамардаг, тал бүр зөвшөөрлийн жагсаалтаа хэрхэн бүрдүүлдэг, шинэчлэл хэр үнэтэйг харна уу.
Жижиг байршуулалт хурууны хээнд ханддаг нь гэрчилгээний байгууллага хэнд ч удирдах цаг байхгүй дэд бүтэц мэт харагддагтай холбоотой. Зөн совин нь үндэслэлтэй боловч хүмүүс оронд нь сонгодог богино зам—өгөгдлийн сувгийн нэг нууцыг хоёр төгсгөлд хуулах—тийм биш. peer-fingerprint тохиргоо TLS бүтцийг бүрэн хадгална: тал бүр өөрийн хувийн түлхүүр, гэрчилгээгээ хадсар байна, тал бүр нөгөөгөө баталгаажуулсар байна. Өөрчлөгдөх нь баталгаажуулалт хаана бэхлэгдсэн байгаа: итгэмжлэгдсэн олгогчоос бэхэлсэн хураангуйн богино жагсаалт руу. Хураангуй нэрийг бус бүх гэрчилгээг хамардаг тул шинэчлэл үнэхээр цаг авдаг үйлдэл болдог.
Хурууны хээ юунд үнэхээр үүрэг хүлээдэг
Гэрчилгээний хурууны хээ нь DER-ээр кодлогдсон бүх гэрчилгээний хураангуй, түүний нийтийн түлхүүрийн ч, субьектийн нэрийн ч биш. Тиймээс ижил нэр, ижил түлхүүртэй боловч өөр хүчинтэй хугацаатай хоёр гэрчилгээ өөр хурууны хээтэй байдаг. Энэ нь бэхлэлтийг нарийвчлалтай болгодог, мөн шинэчлэлийг төвөгтэй болгодог. Бэхлэлт түлхүүрт ерөнхийдөө итгэх гэсэн үг байж чадахгүй, учир нь тэр нэг объектыг амьдралынх нь нэг мөчид нэрлэдэг. Хураангуйг хэн ч мэдэж болох бөгөөд мэдэх нь өөрөө юу ч нотолдоггүй.
openssl x509 -in server.crt -noout -fingerprint -sha256
openssl x509 -in client-07.crt -noout -fingerprint -sha256Тохирох хувийн түлхүүрийг эзэмших нь түнш тэр гэрчилгээг эзэмшиж байгааг нотолдог, харин хураангуй нь нөгөө тал тэр гэрчилгээг огт хүлээж байсан эсэхийг шийддэг арга юм. Энэ зааглал нь энэ дизайн хуучин хуваалцсан нууцын журам биш байх шалтгаан: хуваалцсан түлхүүр ижил байтуудыг мэддэг хэнийг ч баталгаажуулдаг бол бэхлэлт нэг гэрчилгээг баталгаажуулдаг. Өөр төхөөрөмж ижил нууцын хуулбар биш өөрийн бичлэгийг авдаг, энэ нь файлуудад бага, хохирлын хэмжээнд том ялгаа.
Зураг харилцан, тэгш хэмтэй бус
Төгсгөлийн цэг бүрт хоёр зүйл хэрэгтэй: өөрийн хувийн түлхүүр гэрчилгээтэйгээ, аль түншийн гэрчилгээг хүлээн авах тухай мэдэгдэл. Клиент дээр тэр мэдэгдэл серверийн гэрчилгээний хураангуй; сервер дээр бүртгэгдсэн клиентүүдийн хураангуйн жагсаалт. Community 2.6-д зориулсан жижиг тохиргооны албан ёсны жишээ peer-fingerprint-тэй байршлыг харуулдаг бөгөөд бодит байршуулалтад энэ итгэлцийн загварыг сонгохын өмнө унших нь зүйтэй. Хоёр чиглэл нэг эргүүлсэн жагсаалт биш бөгөөд тэд нэг мөчид бүтэлгүйтдэггүй.
| Verification direction | What is pinned | What never leaves that endpoint | How a wrong pin shows up |
|---|---|---|---|
| Client checks the server | One digest, for the server certificate | The server private key | The client aborts during the TLS handshake |
| Server checks the client | A digest per enrolled client | Each client private key | The server rejects the peer before a tunnel exists |
Төхөөрөмж нэмэх нь сервер дээрх зөвшөөрлийн жагсаалтыг засварлана, одоо байгаа клиентийн хувийн материалыг хуулахгүйгээр, серверийн түлхүүрийг хаашаа ч зөөхгүйгээр. Хоёр чиглэл бие даан ч бүтэлгүйтдэг, энэ нь оношилгоонд хэрэгтэй: аль тал гар барилтыг хааж байна, тэр талын хүлээлт биелээгүй. Хэрэв клиент серверийг татгалзвал, хураангуй танилцуулсан гэрчилгээтэй таарахгүй. Хэрэв сервер клиентийг татгалзвал, тэр клиентийн хураангуй жагсаалтад байхгүй, эсвэл клиент бүртгэгдсэнээс өөр гэрчилгээ танилцуулж байна.
Бүртгэл: шинэ төхөөрөмж хэрхэн нэгддэг
Шинэ төхөөрөмжийн түлхүүр, гэрчилгээг хувийн түлхүүр байх газарт үүсгэж, дараа нь зөвхөн нийтийн объектыг бэхлэх ёстой тал руу зөөнө. Хүлээгдэж буй хураангуйг та аль хэдийн итгэдэг сувгаар дамжуулж, танил харагдах нэрийн оронд бүх гэрчилгээг харьцуул. Гэрчилгээтэй ижил шалгагдаагүй татлагаас хуулсан хураангуй нь хоёр файл хоорондоо нийцэж байгааг л нотолдог. Энэ нь ижил төстэй байдлын шалгалт, таних тэмдгийн шалгалт биш, мөн энэ дизайн сулрах хамгийн чимээгүй зам.
Сервер дээр хураангуй нэмэх нь ердийн менежерээр дамждаг конфигурацийн өөрчлөлт бөгөөд дараа нь дахин холбогдоно. Шинэ төхөөрөмж холбогдож, хураангуй нь хасагдсан төхөөрөмж дахин холбогдохгүй гэдгийг баталгаажуул. Зөвхөн эерэг тохиолдлыг хамарсан туршилт зөвшөөрлийн жагсаалтыг шалгагдаагүй үлдээдэг бөгөөд зургаан сарын дараа та яг тэр байдалд байх болно.
Шинэчлэл бол үнэтэй мөч
Гэрчилгээ бүр дуусдаг бөгөөд түлхүүр, нэр хэвээр байсан ч шинэ гэрчилгээ шинэ хураангуйтай байдаг. Олгогчийн дор шинэчлэл тэр олгогчид итгэдэг түншүүдэд ил тод; бэхлэлтийн дор гэрчилгээг бэхэлдэг түнш бүрт бүртгэлийн үйл явдал.
Хугацаа дуусахаас өмнө дарааллыг төлөвлө, дараа нь биш. Шинэ хураангуйг шалгадаг талуудад тарааж, өөрчлөлтийг хэрэглэж, зөвхөн дараа нь төгсгөлийн цэг дээр гэрчилгээг соль. Энэ дараалал аль гэрчилгээ нь одоогийн гэдэг дээр хоёр тал зөрөх цонх үлдээхгүй. Жагсаалтыг өөрөө ч хяналтад байлга, учир нь бэхэлсэн жагсаалт сарын өмнө хасагдсан төхөөрөмжүүдийн бичлэгийг хуримтлуулдаг. Хуучирсан бичлэг бүр түлхүүр нь амьд үлдвэл одоо ч баталгаажих таних тэмдэг тул нэгийг хасах нь цэвэрлэгээ биш, аюулгүй байдлын үйлдэл.
Итгэлцийн зураг юуг шийддэггүй
Баталгаажуулалт нэг давхарга бөгөөд бэхэлсэн зураг хаягийн сан, түлхэгдсэн маршрут, замын MTU эсвэл галт хананы бодлогын талаар юу ч хэлдэггүй. Эдгээр нь тусдаа тохиргоо, тусдаа эвдрэлийн горим хэвээр үлддэг. Баталгаажсан боловч ямар ч урсгал нэвтрүүлдэггүй туннель хэзээ ч босохгүй туннелээс өөр шинжилгээ.
Зураг нь мөн хязгааргүй тэлэхгүй бөгөөд илүү том байршуулалт олгогчдод суурилсан PKI дээр ирдэг. Тэр сонголт нь криптографийн тухай биш, үйл ажиллагааны тухай, учир нь флот өсөх тусам түнш бүрийн жагсаалтыг засварлахаас нэг байгууллагаар таних тэмдэг нэмэх, хасах нь хямд. Клиентийн хэрэгжилт энэ сонголтыг дэмждэггүй газарт хариулт нь тэр клиент баримтжуулсан нийцтэй итгэлцийн загвар эсвэл дэмжигдсэн орлуулагч юм. Баталгаажуулалтын анхааруулгыг дарах нь тэр дэмжлэгийг нэмэхгүй бөгөөд дизайны бүх үнэ цэнэ нь баталгаажуулалт одоо ч явагддагт оршино.