ca.key-г VPN хэрэглэгч бүрт хуулах нь CA-г яагаад эвддэг вэ
Хэрэглэгч CA-ийн нийтийн гэрчилгээг шалгадаг; гарын үсэг зурдаг түлхүүр түүнд хэзээ ч хэрэггүй. ca.key-г төхөөрөмж бүрт хуулах нь нэг хуулбар авсан хүн бүрт олгох эрхийг өгдөг.
Суулгах зааврын хаа нэгтээ аль файл тэнд хамаарахыг шийдэхээс хялбар байсан тул бүхэл нэг хавтсыг зөөврийн компьютер бүрт бүтнээр нь хуулдаг. Тэр хавтас ca.key-г агуулдаг бөгөөд хоёр дахь төхөөрөмжид хүрэх тэр мөчид гэрчилгээний байгууллага байгууллага байхаа болино. Одоо ямар ч эзэмшигч сүлжээний бусад хэсэг итгэх таних тэмдгийг олгож чадна.
Энэ будлианыг нэг удаа задлах нь зүйтэй, учир нь хоёр файл гаднаа төстэй боловч эсрэг зүйл хийдэг.
Шалгах материал ба гарын үсэг зурах материал
Хэрэглэгчид нөгөө талын танилцуулсан гэрчилгээг тэр байгууллага гарын үсэг зурсныг шалгахын тулд CA-ийн нийтийн гэрчилгээ хэрэгтэй. Энэ бол шалгах ажил бөгөөд ямар ч нууц шаарддаггүй. Нөгөө талын гэрчилгээнд гарын үсэг зурах нь өөр ажил бөгөөд CA-г ажиллуулдаг хүн нэг удаа, өөрийн хамгаалагдсан сангаас хэзээ ч гардаггүй хувийн түлхүүрээр гүйцэтгэдэг. Энэ хоёр ажлыг тусгаарлах нь хоёр файл илгээх бүх утга юм.
Тиймээс ca.crt профайлд хамаарах бөгөөд ca.key түүний ойролцоо хаана ч хамаарахгүй. Файлын нэрс бол зөвшилцөл, баталгаа биш, тиймээс төрлийг нэрнээс нь таамаглахгүй шалгах ёстой.
Завсрын CA эсвэл онлайн олголтын үйлчилгээ бүхий архитектур үүнд үл хамаарахгүй. Төхөөрөмжийн гэрчилгээг өргөн хэмжээнд олгож байхдаа гарын үсэг зурах чадварыг төгсгөлийн цэгүүдээс хол байлгах стандарт арга юм.
Хэрэглэгч өөрийн түлхүүрээр юуг нотлох ёстой вэ
Төхөөрөмж бүр өөрийн түлхүүрийн хос болон өөрийн гэрчилгээг авдаг, үүнд CA нэг удаа гарын үсэг зурдаг. Хэрэглэгч тэр гэрчилгээг үзүүлж, тохирох хувийн түлхүүрийг эзэмшиж буйгаа нотолж, сервер хүлээн авах эсэхийг шийддэг. Зөөврийн компьютер алга болоход хүчингүй болдог таних тэмдэг нь энэ юм.
Энэ ялгаа хулгайн дараа хамгийн чухал. Төхөөрөмж бүрт тусдаа таних тэмдэг байвал илэрсэн нэг хэрэглэгчийг хүчингүй болгох эсвэл нөгөө талыг хасах замаар зайлуулж, бусад флот үргэлжлүүлэн ажиллана.
Алдагдсан байгууллагын түлхүүрийг ингэж шийдвэрлэх боломжгүй. Тэр хэзээ нэгэн цагт гарын үсэг зурсан эсвэл зурж болох бүх гэрчилгээ эргэлзээтэй болдог тул хариу арга хэмжээ нь нэг хүчингүй болгох бус итгэлийг солих явдал юм. Энэ бол төсөл, тасалбар биш.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Файлыг хаа нэгтээ хуулахын өмнө уншаарай
Хоёр команд ямар ч нууц хэвлэхгүйгээр гарт чинь ямар төрлийн объект байгааг хэлнэ. Эхнийх нь гэрчилгээ дээрх субьект ба CA тугыг нэрлэнэ; хоёр дахь нь түлхүүрийг баталгаажуулж түүний төрлийг мэдээлнэ. Хоёуланг нь тараах гэж буй багц дахь файлууд дээр ажиллуулаарай. Хувийн түлхүүр гэж батлагдсан бүхэн хэрэглэгчийн хавтаст хамаарахгүй.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Хэрэглэгчийн багцад байгаа файл дээр хоёр дахь команд амжилттай болвол зогсоод багцыг эвдэрсэн гэж үзээрэй. Түлхүүр хүчинтэй гэж хэлсэн гаралт нь тэр байгааг ч хэлнэ, байгаа нь бүх асуудал юм.
Эсрэг чиглэлд ч анхаарна уу: хэрэглэгчийн профайлд тухайн хэрэглэгчийн өөрийн хувийн түлхүүр хууль ёсоор байдаг. Олдсон бүх түлхүүрийг устгах нь юу ч сайжруулахгүйгээр холболтыг таслана, тиймээс объектыг зайлуулахын өмнө таних шаардлагатай.
Аль хэдийн тараасан түлхүүрийг хянах
Орон нутгийн хуулбарыг устгах нь илчлэлтийг буцаана гэж битгий бодоорой. Файлыг эзэмшиж байсан хэн ч хуулж болох байсан бөгөөд аюулгүй таамаг нь тэр хуулсан гэдэг юм. Операторын ослын журамд дагаж итгэлийн зангууг сольж, шинэ CA-ийн дор төхөөрөмжийн гэрчилгээг дахин олгоорой.
Дараа нь асуудал үүсгэсэн баглаа боодлыг өөрчил. Файлуудын тодорхой зөвшөөрөгдсөн жагсаалттай хавтасны жагсаалтыг илгээж, CA түлхүүрийг хэрэглэгчийн флотод хэзээ ч нэгддэггүй машин дээр байлга, аль систем түүнийг хадгалж байгааг бүртгэ.
Байгууллага олон удаа олгох шаардлагатай бол гарын үсэг зурахыг явцуу хамрах хүрээ, богино хүчинтэй хугацаатай үйлчилгээ эсвэл завсрын байгууллагын цаана шилжүүл. Ингэснээр ирээдүйн алдаа бүхэл бүтээцийн итгэлийн үндсийг бус олголтын нэг хэсгийг илчилнэ.