Хөрвүүлэхийн өмнө: SSH түлхүүр ба OpenVPN гэрчилгээ

Импорт гэрчилгээний алдаатайгаар бүтэлгүйтдэг тул илт харагдах алхам нь хөрвүүлэлт мэт санагддаг. Энэ зөн хүмүүсийг файлын өргөтгөл өөрчлөгдөж, харин татгалзал яг хэвээр үлддэг зам руу хөтөлдөг. authorized_keys доторх ssh-ed25519 мөр болон OpenVPN клиентийн гэрчилгээ нь тусдаа итгэмжлэлийн объектууд бөгөөд олгогч, кодчилол, цуцалтын зам нь өөр өөр байдаг. Эдгээр шалгалтыг дарааллаар нь хийвэл хөрвүүлэлт ер нь тус болох эсэхийг нэг минутын дотор мэдэх болно.

Таны гарт яг ямар объект байна вэ?

Хүмүүсийн түлхүүр гэж нэрлэдэг таван зүйл байдаг бөгөөд тэдгээрийн зөвхөн нэг нь TLS профайлын хүсдэг зүйл юм. SSH нийтийн түлхүүр нь төрлийн угтвар ба base64 агуулгатай нэг мөр текст юм. OpenSSH гэрчилгээ нь тухайн түлхүүр дээр гарын үсэг, principals, сонголтуудыг нэмсэн бөгөөд ssh-keygen өөрийн жижиг CA болж ажиллахдаа үүсгэдэг. X.509 гэрчилгээ нь огт өөр бүтэц бөгөөд субъект, хүчинтэй хугацааны цонх, өргөтгөлүүд болон гэрчилгээний байгууллагын гарын үсгийг агуулна. Хувийн түлхүүр нь нууц хагас, харин олгосон багц нь ихэвчлэн нэг файлд гэрчилгээ, түүний гинжин хэлхээ, хувийн түлхүүр байдаг.

Эхний туршилт нэг команд үнэтэй. openssl-ийг файл руу чиглүүлж, гэрчилгээний бүтцийг задлан шинжлэхийг хүс:

openssl x509 -in client.crt -noout -subject -issuer

Хэрэв энэ нь ачаалж чадсангүй эсвэл PEM алдаатай бүтэлгүйтвэл, та ямар ч нэр өгсөн бай, тухайн файл X.509 гэрчилгээ биш юм. Нэрийг өөрчлөх нь доторх ASN.1-ийг дахин бичихгүй, нийтийн түлхүүрийн мөрийг PEM толгой текстэд ороох нь ч мөн адил.

Профайл гэрчилгээ ер нь шаарддаг уу?

Клиентийн гэрчилгээ нь хэд хэдэн нэвтрүүлэлтийн аргын нэг бөгөөд ажиллаж буй олон TLS профайл хэзээ ч нэгийг шаарддаггүй. Сервер хэрэглэгчдийг залгаас, хэрэглэгчийн нэр ба нууц үг, эсвэл токен бэкендээр нэвтрүүлж болох бөгөөд зэрэг клиентээс серверийн хувь хүнийг шалгахыг шаарддаг. Хэрэв профайлд клиентийн гэрчилгээний заавар байхгүй бол хэзээ ч гэрчилгээ шаардахгүй бөгөөд ямар ч хөрвүүлэлт гарцыг нэгийг шаардуулахгүй.

Хуучин статик түлхүүрийн тохиргоо бол гурав дахь тохиолдол юм. Тэдгээр нь TLS гар барилтаас өмнөх бөгөөд урьдчилан хуваалцсан нууц файлыг хүлээдэг тул тэр талбарт нийтийн түлхүүр наах нь ч ажиллахгүй. Итгэмжлэл буруу гэж шийдэхээс өмнө профайл үнэхээр юу шаардаж байгааг уншаарай.

Дахин кодчилол юу хийж чадах, юу чадахгүй

Хувийн түлхүүрүүд үнэхээр хууль ёсны өөр савтай байдаг. Ижил RSA эсвэл EC түлхүүрийг уламжлалт PEM, PKCS#8, эсвэл PKCS#12 багц дотор бичиж болох бөгөөд хэрэгслүүд тэдгээрийн хооронд баяртайгаар хөрвүүлдэг. Нийтийн түлхүүрүүд ч ижил түүхтэй: ssh-keygen нь SSH түлхүүрийн RFC 4716 хэлбэрийг гаргаж чаддаг бөгөөд OpenSSH өөрийн гэрчилгээний форматыг ч ойлгодог. Энэ бүгд дүрслэл бөгөөд дүрслэл нь итгэл биш юм.

Хөрвүүлэлтийн хийж чадахгүй зүйл бол таны түлхүүрийг хэзээ ч хараагүй гэрчилгээний байгууллагын гарын үсэг үүсгэх явдал юм. Гэрчилгээ гэдэг нь тодорхой нийтийн түлхүүр тодорхой зорилгоор тодорхой субъектэд хамаарна гэсэн олгогчийн мэдэгдэл юм. Дахин кодчилол нь түлхүүрийн байтуудыг хадгалж, мэдэгдлийг орхигдуулдаг тул гарцад итгэлийн сантайгаа харьцуулах зүйл байхгүй.

Ихэнх оролдлого чимээгүйхэн бүтэлгүйтдэг алхам нь энэ: файл одоо .crt-ээр төгсдөг, клиент түүнийг гомдолгүй уншдаг, гэвч гар барилт тасарсаар байна, учир нь эсрэг тал итгэмжлэгдсэн олгогч хүртэл гинж бүтээж чадахгүй.

Гэрчилгээний байгууллага зурагт хаана ордог вэ

Жинхэнэ бүртгэл нь таны хянадаг түлхүүрийн хос болон операторын хүлээж буй субъектийг агуулсан гэрчилгээнд гарын үсэг зурах хүсэлтээс эхэлдэг. Оператор эрхийг шалгаж, хүсэлтэд CA түлхүүрээр гарын үсэг зурж, олгосон гэрчилгээг клиент танилцуулах ёстой аливаа завсрын гинжин хэлхээний хамт буцаана. Дараа нь клиентэд түүнд гарын үсэг зурсан CA гэрчилгээ хэрэгтэй, учир нь ярилцаж буй сервер нь ижил байршуулалтад хамаарна гэдгийг баталгаажуулах боломжийг тэр олгодог.

Тэр сүүлчийн файлыг мартах амархан, орлуулах боломжгүй. CA-ийн гарын үсгийн түлхүүр өөрөө хэзээ ч клиентийн тохиргоонд хамаарахгүй бөгөөд ямар ч орон нутгийн хөрвүүлэлт таны авах ёстой байсан гинжийг үүсгэхгүй.

SSH түлхүүрийг дахин ашиглах нь танд юу өртөгтэй вэ

Хөрвүүлэлт үнэхээр ямар нэгэн хүлээн зөвшөөрөхүйц зүйл гаргасан гэж бодъё. Нэг түлхүүрийн хосыг SSH нэвтрэх болон VPN нэвтрүүлэлтэд дахин ашиглах нь хоёр бие даасан аюулгүй байдлын шийдвэрийг холбосоор байна. authorized_keys-ээс бичлэг устгах нь SSH нэвтрэлтийг зогсоодог бөгөөд ижил нийтийн түлхүүрт VPN CA аль хэдийн олгосон гэрчилгээнд юу ч хийхгүй. VPN тал өөрийн механизмаар, өөрөөр хэлбэл гэрчилгээ цуцлах жагсаалт эсвэл операторын бүртгэлийн бичлэгээр цуцлагддаг.

Тиймээс шалгах хуудас нь ямар нэгэн заль мэхээр биш, зогсоох нөхцлөөр төгсдөг. Хэрэв openssl файлыг гэрчилгээ гэж задлан шинжлэхгүй бол хөрвүүлэлтийг зогсоож, танд юу байгааг тайлбарла: SSH түлхүүр, SSH гэрчилгээ, X.509 гэрчилгээ, хувийн түлхүүр эсвэл багц. Хэрэв профайл клиентийн гэрчилгээ шаардахгүй бол зогсоод сервер ямар нэвтрүүлэлтийн аргыг хүлээж байгааг асуу. Хоёр хариулт хоёулаа X.509-д заасан үед л бүртгэл дараагийн алхам болж, эхний өгүүлбэрт зөв нэр байвал тэр яриа хамаагүй хурдан явагдана.