प्रत्येक VPN क्लायंटवर ca.key कॉपी केल्याने CA का तुटते
क्लायंट CA चे सार्वजनिक प्रमाणपत्र तपासतो; सही करणारी किल्ली त्याला कधीही लागत नाही. ca.key प्रत्येक उपकरणावर कॉपी करणे एकही प्रत घेणाऱ्या कोणालाही प्रमाणपत्र देण्याचा अधिकार देते.
सेटअप सूचनांमध्ये कुठेतरी, कोणत्या फाइल्स तिथे हव्यात हे ठरवण्यापेक्षा सोपे असल्यामुळे एक डिरेक्टरी प्रत्येक लॅपटॉपवर संपूर्ण कॉपी केली जाते। त्या डिरेक्टरीत ca.key आहे, आणि ती दुसऱ्या उपकरणावर पोहोचताच प्रमाणपत्र प्राधिकरण प्राधिकरण राहत नाही। आता कोणताही धारक अशा ओळखी देऊ शकतो ज्यांवर उर्वरित नेटवर्क विश्वास ठेवेल।
हा गोंधळ एकदा सोडवण्यासारखा आहे, कारण दोन्ही फाइल्स दिसायला सारख्याच पण कामाने विरुद्ध आहेत।
पडताळणी सामग्री आणि सही सामग्री
समोरच्या बाजूने सादर केलेले प्रमाणपत्र त्या प्राधिकरणाने सही केले आहे का हे तपासण्यासाठी क्लायंटला CA चे सार्वजनिक प्रमाणपत्र लागते। हे पडताळणीचे काम आहे आणि यास कोणत्याही गुप्त गोष्टीची गरज नाही। समोरच्या बाजूच्या प्रमाणपत्रावर सही करणे हे वेगळे काम आहे, जे CA चालवणारा एकदा, आपल्या संरक्षित भांडारातून कधीही न बाहेर पडणाऱ्या खाजगी किल्लीने करतो। या दोन कामांचे विभाजन करणे हाच दोन फाइल्स पाठवण्याचा संपूर्ण उद्देश आहे।
म्हणून ca.crt प्रोफाइलमध्ये येते आणि ca.key त्याच्या जवळ कुठेही येत नाही। फाइलची नावे ही एक परंपरा आहे, हमी नाही, म्हणून नावावरून अंदाज न करता प्रकार तपासावा लागतो।
मध्यस्थ CA किंवा ऑनलाइन वितरण सेवा असलेली रचना याला अपवाद नाही। मोठ्या प्रमाणात उपकरण प्रमाणपत्रे देताना सही करण्याची क्षमता टोकांपासून दूर ठेवण्याचा हा प्रमाणित मार्ग आहे।
क्लायंटने स्वतःच्या किल्लीने काय सिद्ध करावे
प्रत्येक उपकरणाला स्वतःची किल्ली-जोडी आणि स्वतःचे प्रमाणपत्र मिळते, ज्यावर CA एकदा सही करते। क्लायंट ते प्रमाणपत्र सादर करतो आणि जुळणारी खाजगी किल्ली आपल्याकडे असल्याचे सिद्ध करतो, आणि सर्व्हर ते स्वीकारायचे की नाही हे ठरवतो। लॅपटॉप हरवल्यावर रद्द होणारी ओळख हीच आहे।
चोरीनंतर हा फरक सर्वात महत्त्वाचा ठरतो। प्रत्येक उपकरणासाठी स्वतंत्र ओळख असल्यास उघड झालेला एक क्लायंट रद्द करून किंवा समोरची बाजू काढून टाकून काढला जातो, आणि उर्वरित ताफा काम करत राहतो।
गळलेल्या प्राधिकरणाच्या किल्लीला असे हाताळता येत नाही। तिने आजवर सही केलेले किंवा करू शकणारे प्रत्येक प्रमाणपत्र संशयास्पद होते, म्हणून प्रतिक्रिया एक रद्द नसून विश्वासाची बदली असते। हा एक प्रकल्प आहे, तिकीट नाही।
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
फाइल कुठेही कॉपी करण्यापूर्वी ती वाचा
दोन आदेश कोणतेही गुपित न छापता तुमच्या हातात कोणत्या प्रकारची वस्तू आहे हे सांगतात। पहिला प्रमाणपत्रावरील विषय आणि CA ध्वज सांगतो; दुसरा किल्लीची वैधता तपासून तिचा प्रकार सांगतो। तुम्ही वितरित करणार असलेल्या बंडलमधील फाइल्सवर दोन्ही चालवा। खाजगी किल्ली म्हणून वैध ठरणारे काहीही क्लायंट डिरेक्टरीत नसावे।
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
क्लायंट बंडलमधील फाइलवर दुसरा आदेश यशस्वी झाल्यास थांबा आणि बंडलला भेदलेले माना। किल्ली वैध आहे असे सांगणारे आउटपुट ती उपस्थित आहे हेही सांगते, आणि उपस्थिती हीच संपूर्ण समस्या आहे।
उलट दिशेकडेही लक्ष द्या: क्लायंट प्रोफाइलमध्ये त्या क्लायंटची स्वतःची खाजगी किल्ली कायदेशीरपणे असते। सापडलेली प्रत्येक किल्ली पुसल्यास काहीही सुधारल्याशिवाय जोडणी तुटते, म्हणून काढण्यापूर्वी वस्तूची ओळख पटवावी लागते।
आधीच वितरित केलेल्या किल्लीवर नियंत्रण
स्थानिक प्रत पुसल्याने उघड होणे उलटते असे गृहीत धरू नका। ज्याच्याकडे फाइल होती तो तिची प्रत करू शकला असता, आणि सुरक्षित गृहीतक म्हणजे त्याने केली। ऑपरेटरच्या घटना प्रक्रियेचे अनुसरण करा आणि विश्वासाचा आधार बदला, नव्या CA अंतर्गत उपकरण प्रमाणपत्रे पुन्हा जारी करून।
मग समस्या निर्माण करणारे पॅकेजिंग बदला। फाइलींच्या स्पष्ट परवानगी यादीसह डिरेक्टरीची यादी पाठवा, CA किल्ली क्लायंट ताफ्यात कधीही सामील न होणाऱ्या यंत्रावर ठेवा, आणि कोणती प्रणाली ती ठेवते हे नोंदवा।
प्राधिकरणाला वारंवार जारी करावे लागत असल्यास सही करणे अरुंद व्याप्ती आणि कमी वैधता असलेल्या सेवेच्या किंवा मध्यस्थ प्राधिकरणाच्या मागे हलवा। अशा रीतीने भविष्यातील चूक संपूर्ण तैनातीच्या विश्वासाच्या मुळाला नव्हे तर जारी करण्याच्या एका भागाला उघड करते।