VPN साठी स्व-स्वाक्षरीत विरुद्ध सार्वजनिक CA: प्रत्यक्षात काय बदलते

तुम्ही VPN सेटअपच्या प्रमाणपत्र पानावर पोहोचता, मोफत स्व-स्वाक्षरीत पर्याय सशुल्क सार्वजनिक CA च्या शेजारी पाहता, आणि प्रश्न सुरक्षा निवडीसारखा वाटतो। तो प्रत्यक्षात प्रेक्षकांची निवड आहे। दोन्ही पर्याय बोगद्याला समान मूलभूत घटकांनी एन्क्रिप्ट करतात, आणि खाजगी की गळली तर दोन्ही निरुपयोगी होतात। त्यांना वेगळे करणारे म्हणजे सर्व्हरच्या ओळखीबद्दल दावा कोण करतो आणि तो दावा तपासण्याच्या स्थितीत कोण आहे।

प्रमाणपत्र दोन कामे करते ज्यांचा गोंधळ होतो

प्रमाणपत्र सार्वजनिक की ला नावाशी जोडते, आणि की एन्क्रिप्शन व स्वाक्षरीचे काम करते। प्रमाणपत्रावरील स्वाक्षरी हे स्वतंत्र विधान आहे: कोणत्या तरी प्राधिकरणाने नाव या की धारकाचे आहे याची तपासणी केली आहे। स्व-स्वाक्षरीत प्रमाणपत्र ते विधान स्वतःबद्दल करते, जे तिसऱ्या पक्षाचा दावाच नाही।

सार्वजनिक वेबसाइट्सना तिसऱ्या पक्षाची आवृत्ती हवी असते, कारण अभ्यागत कोणत्याही पूर्वसंबंधाशिवाय येतात आणि ब्राउझरच्या विश्वास साठवणीवर अवलंबून असतात। VPN क्लायंट अनोळखी नाही। तुम्ही त्याला CA प्रमाणपत्र देता, किंवा तो स्थापित करणाऱ्या प्रोफाइलमध्ये सर्व्हर प्रमाणपत्र पिन करता, त्यामुळे तपासणी नेमकी तुम्ही निवडलेल्या प्राधिकरणाविरुद्ध होते। त्या तपासणीला अर्थ असावा यासाठी कोणतेही व्यावसायिक CA सहभागी होणे आवश्यक नाही।

परिणामी सत्राची ताकद की आकार आणि सिफर संचातून येते, स्वाक्षरी करणाऱ्याकडून नाही। म्हणूनच स्व-स्वाक्षरीत प्रमाणपत्राला "कमी एन्क्रिप्टेड" म्हणणे फक्त चूक आहे; ते कमी व्यापकपणे हमी दिलेले आहे, जो वेगळा गुणधर्म आहे।

सार्वजनिक CA त्याचे शुल्क कुठे कमावते

सर्वात स्पष्ट प्रकरण म्हणजे प्रशासन पान। सहकारी, कंत्राटदार किंवा तयार प्रोफाइल नसलेल्या कोणालाही ब्राउझर इशारा न देता VPN सर्व्हरचे वेब इंटरफेस उघडावे लागले, तर सार्वजनिकरित्या विश्वासार्ह प्रमाणपत्र तो घर्षण दूर करते। ब्राउझर आधीच स्वाक्षरी करणाऱ्यावर विश्वास ठेवतो, त्यामुळे आयात करण्यासारखे काही नाही आणि समजावून सांगण्यासारखेही काही नाही।

त्या सोयीच्या खर्चा आहेत ज्या खरेदीपूर्वी नाव देणे योग्य आहे। नूतनीकरण स्वयंचलित असणे आवश्यक आहे, नाहीतर साइट वेळापत्रकानुसार तुटते, सार्वजनिक प्रमाणपत्रे प्रमाणपत्र पारदर्शकता नोंदींमध्ये होस्टनाव उघड करतात, आणि जारी दर मर्यादा अतिउत्साहाने पुन्हा प्रयत्न करणाऱ्या स्क्रिप्टला शिक्षा करतात। यापैकी कोणतेही सार्वजनिक CA टाळण्याचे कारण नाही, परंतु हे असे कार्यक्षम काम आहे जे खाजगी CA अन्यत्र हलवते।

सार्वजनिक प्रमाणपत्र जे करत नाही ते म्हणजे तुमच्या वापरकर्त्यांचे प्रमाणीकरण। क्लायंट ओळख हा स्वतंत्र निर्णय आहे, क्लायंट प्रमाणपत्रे, संकेतशब्द किंवा दुसऱ्या घटकाने घेतला जातो, आणि सर्व्हरवर स्वाक्षरी करणारे CA त्याला कोण जोडू शकतो याबद्दल काहीही सांगत नाही।

खाजगी CA VPN मध्ये कुठे बसते

ज्ञात क्लायंट संच असलेल्या खाजगी VPN साठी स्वतःचे CA चालवणे ही पारंपरिक निवड आहे। तुम्ही CA एकदा तयार करता, क्लायंट वापरणार असलेल्या नावाने सर्व्हर प्रमाणपत्रावर स्वाक्षरी करता, आणि प्रत्येक प्रोफाइलमध्ये CA प्रमाणपत्र वितरित करता। नंतर प्रत्येक क्लायंट तुमच्या प्राधिकरणाविरुद्ध सर्व्हर तपासतो, आणि कोणताही बाह्य पक्ष होस्टनाव जाणत नाही।

खर्च खरे पण मर्यादित आहेत। कोणी प्रशासन पान थेट उघडल्यावर ब्राउझर इशारा देतील, कारण ब्राउझरकडे तुमच्या CA वर विश्वास ठेवण्याचे कारण नाही। प्रोफाइल वितरण ऑनबोर्डिंगचा भाग होते, आणि CA फिरवणे म्हणजे प्रत्येक क्लायंटला स्पर्श करणे। दहा किंवा पन्नास ज्ञात वापरकर्त्यांच्या सेवेसाठी हे स्वीकारार्ह किंमती आहेत आणि हजारो असलेल्या सार्वजनिक अंतबिंदूसाठी वेदनादायक।

एक अट संपूर्ण व्यवस्था वैध करते: तपासणी झालीच पाहिजे। प्रमाणपत्र त्रुटी दुर्लक्षित करण्यासाठी संरचित क्लायंट कोणतेही प्रमाणपत्र सादर करणाऱ्या कोणत्याही सर्व्हरला स्वीकारतो, त्यामुळे एन्क्रिप्शन राहते पण ओळखीची हमी नाहीशी होते। तेच सेटिंग "स्व-स्वाक्षरीत असुरक्षित आहे" या बहुतेक कथांमधील खरी कमजोरी आहे।

CA ची खाजगी की नंतर तुम्ही काय करू शकता हे ठरवते

आश्चर्य सहसा महिन्यांनंतर येते, जेव्हा तुम्हाला उपकरण जोडायचे असते। क्लायंट प्रमाणपत्र जारी करण्यासाठी CA ची खाजगी की लागते, आणि रद्दीकरण सूची तयार करण्यासाठीही। जर तुम्हाला प्रमाणपत्र व की फाइली असलेला पण CA की नसलेला सर्व्हर वारसाहक्काने मिळाला, तर तुम्ही नवीन काहीही स्वाक्षरी करू शकत नाही। तुमचे पर्याय म्हणजे PKI पुन्हा बांधून प्रत्येक क्लायंटला नवे CA प्रमाणपत्र देणे, किंवा संकेतशब्द प्रमाणीकरणाकडे जाणे, जे वेगळे सुरक्षा मॉडेल आहे आणि गमावलेले परत आणत नाही।

त्याच प्रदेशात दोन लहान सापळे राहतात। easy-rsa स्क्रिप्ट असे गृहीत धरतात की तुम्ही त्यांना असलेल्या डिरेक्टरीत उभे आहात, त्यामुळे गहाळ फाइलची त्रुटी सहसा चुकीचे स्थान दर्शवते, खराब स्थापना नाही। आणि फक्त प्रमाणपत्रांवर आधारित रचना पूर्णपणे वैध आहे: पूर्व-सामायिक की शिवाय क्लायंट प्रमाणपत्रे आवश्यक करू शकता, प्रत्येक क्लायंटकडे एक असेल आणि सर्व्हर साखळी तपासेल या अटीवर।

संपूर्ण संघासाठी एक सामायिक क्लायंट प्रमाणपत्राऐवजी प्रत्येक उपकरणासाठी एक प्रमाणपत्र जारी करा। मग हरवलेला लॅपटॉप तुम्हाला सर्वांसाठी पुनर्जारी करण्याऐवजी एकाच रद्दीकरणाचा खर्च देईल।

तुम्हाला वारसाहक्काने काय मिळाले ते तपासा

कोणताही बदल नियोजित करण्यापूर्वी, तुमच्याकडे आधीच असलेले प्रमाणपत्र वाचा:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

जर जारीकर्ता विषयाच्या समान असेल, तर प्रमाणपत्र स्व-स्वाक्षरीत आहे, जे रचनेची निवड आहे, दोष नाही। तारखा सांगतात की नूतनीकरण कधी कोणाची समस्या होईल, आणि तुम्ही पाठवण्याचा विचार करत असलेल्या CA विरुद्ध यशस्वी तपासणी एकाही क्लायंटने प्रयत्न करण्यापूर्वी साखळी कार्यरत असल्याची पुष्टी करते।

नंतर प्रेक्षक आणि वितरणानुसार निवडा: अज्ञात ब्राउझरना प्रशासन पानावर विश्वास ठेवावा लागतो तेव्हा सार्वजनिक CA, प्रत्येक क्लायंटला तुम्ही नियंत्रित करता असे प्रोफाइल मिळते तेव्हा खाजगी CA। दोन्ही उत्तरांपैकी एकही दुसऱ्यापेक्षा जास्त एन्क्रिप्टेड नाही।