VPN-д зориулсан өөрөө гарын үсэг зурсан ба нээлттэй CA: үнэндээ юу өөрчлөгдөх вэ

Та VPN-ийн тохиргооны сертификатын хуудсанд хүрч, үнэгүй өөрөө гарын үсэг зурсан сонголтыг төлбөртэй нээлттэй CA-ийн хажууд харж, асуулт аюулгүй байдлын сонголот мэт сонсогддог. Энэ нь үнэндээ үзэгчдийн сонголт юм. Хоёр сонголт туннелийг ижил үндсэн элементүүдээр шифрлэдэг бөгөөд хувийн түлхүүр алдагдвал хоёулаа үнэгүй болдог. Тэднийг ялгах нь серверийн хувь хүний талаар хэн мэдэгдэл хийх, тэр мэдэгдлийг шалгах байр суурьт хэн байх вэ гэдэг юм.

Сертификат андуурагддаг хоёр ажлыг гүйцэтгэдэг

Сертификат нээлттэй түлхүүрийг нэртэй холбож, түлхүүр нь шифрлэлт, гарын үсгийн ажлыг хийдэг. Сертификат дээрх гарын үсэг нь тусдаа мэдэгдэл: ямар нэгэн байгууллага тэр нэр энэ түлхүүрийн эзэнд хамаарахыг шалгасан. Өөрөө гарын үсэг зурсан сертификат тэр мэдэгдлийг өөрийнхөө тухай гаргадаг, энэ нь гуравдагч талын мэдэгдэл огт биш.

Нээлттэй вэбсайтуудад гуравдагч талын хувилбар хэрэгтэй, учир нь зочдод урьдчилсан харилцаагүй ирж, хөтчийн итгэлцлийн санд найрдаг. VPN клиент нь танихгүй хүн биш. Та түүнд CA сертификатыг өгөх, эсвэл суулгах профайлын дотор серверийн сертификатыг бэхлэх тул шалгалт яг таны сонгосон байгууллагын эсрэг явагдана. Тэр шалгалт утга учиртай байхын тулд ямар ч арилжааны CA оролцох шаардлагагүй.

Үүссэн сессийн хүч нь гарын үсэг зурсан хүнээс биш, түлхүүрийн хэмжээ, шифрлэлтийн багцаас ирдэг. Тиймээс өөрөө гарын үсэг зурсан сертификатыг "бага шифрлэгдсэн" гэж нэрлэх нь зүгээр л буруу; энэ нь бага өргөн баталгаажсан бөгөөд энэ нь өөр шинж чанар юм.

Нээлттэй CA хураамжаа хаана олдог вэ

Хамгийн тодорхой тохиолдол бол админ хуудас юм. Хэрэв хамт олон, гэрээлэгчид эсвэл бэлэн профайлгүй хэн ч хөтчийн анхааруулгагүйгээр VPN серверийн вэб интерфейсийг нээх ёстой бол нийтэд итгэмжлэгдсэн сертификат тэр үрэлхийлэлийг арилгана. Хөтөч гарын үсэг зурсан хүнд аль хэдийн итгэдэг тул импортлох зүйл ч, тайлбарлах зүйл ч байхгүй.

Тэр тав тухыг худалдан авахаас өмнө нэрлэх нь зүйтэй зардалтай. Шинэчлэлтийг автоматжуулах ёстой, эс бөгөөс сайт хуваарийн дагуу эвдэрнэ, нээлттэй сертификатууд сертификатын ил тод байдлын бүртгэлд хостын нэрийг ил болгодог, олгох хурдны хязгаар хэт их хичээнгүй дахин оролддог скриптийг шийтгэдэг. Эдгээрийн аль нь ч нээлттэй CA-аас зайлсхийх шалтгаан биш, гэхдээ энэ нь хувийн CA өөр газар зөөдөг үйл ажиллагааны ажил юм.

Нээлттэй сертификатын хийдэггүй зүйл бол таны хэрэглэгчдийг баталгаажуулах. Клиентийн хувь хүн бол тусдаа шийдвэр бөгөөд клиентийн сертификат, нууц үг эсвэл хоёр дахь хүчин зүйлээр гаргадаг, серверт гарын үсэг зурдаг CA нь түүнд хэн холбогдохыг зөвшөөрөх тухай юу ч хэлдэггүй.

Хувийн CA VPN-д хаана тохирох вэ

Мэдэгдэж буй клиентийн багцтай хувийн VPN-д өөрийн CA ажиллуулах нь уламжлалт сонголт юм. CA-г нэг удаа үүсгэж, серверийн сертификат дээр клиентүүдийн ашиглах нэрээр гарын үсэг зурж, CA сертификатыг профайл бүрийн дотор тараана. Дараа нь клиент бүр серверийг таны байгууллагын эсрэг шалгаж, гадны ямар ч тал хостын нэрийг мэдэхгүй.

Зардал нь бодит боловч хязгаарлагдмал. Хэн нэгэн админ хуудсыг шууд нээхэд хөтчүүд анхааруулна, учир нь хөтөч таны CA-д итгэх ямар ч шалтгаангүй. Профайл түгээх нь нэвтрүүлэлтийн хэсэг болж, CA-г эргүүлэх нь клиент бүрт хүрэхыг хэлнэ. Эдгээр нь арав эсвэл тавь мэдэгдэж буй хэрэглэгчтэй үйлчилгээнд хүлээн зөвшөөрөхүйц үнэ бөгөөд мянга мянган хэрэглэгчтэй нээлттэй төгсгөлийн цэгт хэцүү.

Нэг нөхцөл бүхэл зохицуулалтыг хүчинтэй болгоно: шалгалт гарцаагүй явагдах ёстой. Сертификатын алдааг үл тоомсорлохоор тохируулсан клиент ямар ч сертификат үзүүлсэн ямар ч серверийг хүлээн авдаг тул шифрлэлт үлдэж, хувь хүний баталгаа алга болно. Тэр тохиргоо нь "өөрөө гарын үсэг зурсан нь аюулгүй бус" түүхүүдийн ихэнх дэх жинхэнэ сул тал.

CA-ийн хувийн түлхүүр дараа нь юу хийж болохыг тодорхойлно

Гэнэтийн зүйл ихэвчлэн хэдэн сарын дараа, төхөөрөмж нэмэхийг хүсэх үед ирдэг. Клиентийн сертификат олгоход CA-ийн хувийн түлхүүр хэрэгтэй бөгөөд хүчингүй болгох жагсаалт гаргахад мөн адил. Сертификат болон түлхүүрийн файлуудтай боловч CA түлхүүргүй серверийг өвлөж авсан бол шинээр юу ч гарын үсэг зурж чадахгүй. Таны сонголтууд нь PKI-г дахин барьж, клиент бүрт шинэ CA сертификат өгөх, эсвэл нууц үгийн баталгаажуулалт руу шилжих; энэ нь өөр аюулгүй байдлын загвар бөгөөд алдагдсаныг буцааж өгөхгүй.

Нэг нутаг дэвсгэрт хоёр жижиг урхи амьдардаг. easy-rsa скриптүүд тэдгээрийг агуулсан хавтаст зогсож байна гэж үздэг тул олдоогүй файлын алдаа ихэвчлэн эвдэрсэн суулгалт биш, буруу байршил гэсэн үг. Зөвхөн сертификатад суурилсан загвар бүрэн хууль ёсны: урьдчилан хуваалцсан түлхүүргүйгээр клиентийн сертификатыг шаардаж болно, клиент бүр нэгтэй, сервер гинжийг шалгаж байх нөхцөлөөр.

Бүх багийн нэг хуваалцсан клиентийн сертификатын оронд төхөөрөмж бүрт нэг сертификат олго. Тэгвэл алдсан зөөврийн компьютер бүгдэд дахин олгохын оронд нэг л хүчингүй болгоход хүргэнэ.

Юу өвлөж авснаа шалга

Ямар ч өөрчлөлтийг төлөвлөхөөс өмнө таны аль хэдийн байгаа сертификатыг унш:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Хэрэв олгогч субъекттэй тэнцүү бол сертификат өөрөө гарын үсэг зурсан бөгөөд энэ нь дизайны сонголт, алдаа биш. Огноонууд шинэчлэлт хэзээ хэн нэгний асуудал болохыг хэлж, илгээхээр төлөвлөж буй CA-ийн эсрэг амжилттай шалгалт гинж нэг ч клиент туршихаас өмнө ажиллаж байгааг батална.

Дараа нь үзэгчид болон түгээлтээр сонго: танихгүй хөтчүүд админ хуудсанд итгэх ёстой бол нээлттэй CA, клиент бүр таны хянадаг профайл авбал хувийн CA. Хоёр хариултын аль нь ч нөгөөгөөсөө илүү шифрлэгдсэн биш.