Profil OpenVPN mempunyai tiga blok sijil: yang mana satu rahsia?

Anda membuka fail .ovpn untuk menukar satu baris dan menemui tiga blok base64 yang semuanya kelihatan seperti kelayakan. Satu selamat untuk diterbitkan, satu lagi sensitif seperti kata laluan, dan satu ialah kunci awam yang tidak bermakna melainkan sesuatu yang lain ditandatangani dengan pasangannya. Orang menampal seluruh fail ke dalam urutan sokongan kerana blok itu kelihatan boleh ditukar, dan begitulah kunci klien berakhir dalam arkib awam. Menentukan blok mana melakukan apa menjelaskan sebahagian besar kekeliruan tentang profil ini, dan ia juga memberitahu anda kegagalan mana yang perlu anda baiki sendiri.

Satu fail, tiga blok, tugasan berbeza

Profil biasa membenamkan blok ca, blok cert dan blok key antara penanda BEGIN dan END, atau merujuk kepada tiga yang sama sebagai fail berasingan. Sesetengah profil menambah blok keempat untuk kunci tls-auth atau tls-crypt, iaitu rahsia bersama dan bukan sijil. Klien membaca setiap blok mengikut arahan yang menamakannya, jadi label lebih penting daripada susunan kemunculannya.

Anggap profil yang dipasang sebagai sensitif sehingga anda benar-benar melihat ke dalamnya. Sijil awam dan kunci peribadi boleh terletak beberapa baris antara satu sama lain dalam fail yang sama, dan tangkapan skrin yang menyertakan pengepala mungkin mengandungi kedua-duanya. Menutup base64 yang kelihatan dengan tangan juga tidak boleh dipercayai, kerana blok separa masih membocorkan metadata sijil yang menamakan penggunaan anda. Menyalin ketiga-tiga arahan tanpa nilainya biasanya cukup untuk bertanya soalan yang berguna.

Arahan di sekeliling blok menentukan cara ia digunakan. Tukar ca dan klien mempercayai pihak berkuasa lain; tukar cert tanpa menukar key dan jabat tangan gagal dengan ketidakpadanan yang tiada kaitan dengan kepercayaan.

Blok CA adalah awam, kunci CA tidak pernah

Pihak berkuasa sijil menandatangani sijil yang mengikat kunci awam kepada identiti, dan sijilnya sendiri ialah sauh yang digunakan klien untuk memutuskan sama ada rantai itu boleh dipercayai. Sijil itu awam dari segi reka bentuk: menghantarnya dalam setiap profil adalah biasa, dan itulah sebabnya penggunaan yang ditandatangani sendiri boleh berfungsi tanpa pihak berkuasa komersial.

Yang tidak boleh muncul dalam profil klien ialah kunci tandatangan peribadi pihak berkuasa. Klien tidak memerlukannya untuk mengesahkan apa-apa, dan kehadirannya bermakna sesiapa yang memegang profil boleh mencipta identiti baharu untuk seluruh penggunaan.

Mempercayai pihak berkuasa juga lebih sempit daripada bunyinya. Klien yang menerima mana-mana sijil yang ditandatangani oleh CA masih akan menerima sijil yang dikeluarkan untuk perkhidmatan lain pada CA yang sama. Pilihan yang memakukan peranan atau nama pelayan yang dijangkakan menutup jurang itu, dan Rujukan pilihan TLS menyenaraikan arahan pengesahan yang melakukannya.

Sijil pelayan dan klien menunjuk ke arah bertentangan

Sijil pelayan ialah apa yang diperiksa oleh klien untuk mengesahkan ia mencapai titik akhir yang betul. Sijil klien anda berjalan sebaliknya: pelayan menggunakannya untuk memutuskan bahawa peranti atau pengguna ini ialah salah satu yang didaftarkannya. Format sama, arah kepercayaan bertentangan.

Alamat bukan identiti. Mencapai IP yang betul tidak membuktikan apa-apa tentang siapa yang menjawab, sebab itu semakan nama hos atau nama sijil masih tergolong dalam profil. Kata laluan akaun juga tidak menggantikan sijil klien yang diperlukan secara senyap, kerana kedua-duanya diperiksa pada peringkat berbeza dan penggunaan boleh menuntut kedua-duanya.

Kunci peribadi klien ialah bahagian yang mesti kekal peribadi. Jika ia mungkin telah terdedah, memadam fail itu daripada komputer riba anda tidak mengubah apa-apa pada pelayan, yang akan terus menerima sijil berkenaan sehingga pengendali membatalkannya. Meminta pengendali menggantikan atau membatalkan identiti itu ialah satu-satunya pembaikan yang bergerak bersama anda.

Dua gesaan yang kelihatan serupa dan sebenarnya tidak

Kunci yang disimpan dalam bentuk disulitkan meminta frasa laluan sebelum klien boleh menggunakannya. Perkhidmatan VPN mungkin meminta kata laluan akaun secara berasingan, dan kedua-dua gesaan boleh muncul beberapa saat antara satu sama lain dengan perkataan yang hampir sama. Frasa laluan melindungi fail pada cakera anda; kata laluan membuktikan akaun kepada pelayan. Mengelirukan keduanya menghantar orang ke tetapan semula kata laluan yang tidak mungkin membantu.

Baca gesaan sebelum menetapkan semula apa-apa. Tetapan semula kata laluan akaun tidak melakukan apa-apa untuk frasa laluan kunci yang terlupa, sijil yang dibatalkan atau yang tamat tempoh, dan menetapkan semula kata laluan apabila kegagalan ialah pengesahan sijil menjadikan pembaikan dua minit sebagai kes sokongan. Jika aduan menyebut tarikh sah laku, periksa jam peranti dahulu, kemudian tetingkap sijil yang dinamakan itu sendiri.

Apabila sijil benar-benar tamat tempoh, penggantian mesti datang daripada siapa yang mengeluarkannya. Kunci milik orang lain bukan laluan pembaharuan, dan meminjam profil yang berfungsi daripada rakan sekerja juga bukan.

Apa yang dibuktikan oleh jabat tangan bersih dan apa yang tidak

Mencapai jabat tangan TLS yang selesai bermakna hubungan identiti yang dikonfigurasikan bertahan: sijil pelayan dirantai kepada CA anda dan sijil anda diterima. Ia tidak mengatakan apa-apa tentang dasar pencatatan pengendali, dan tidak juga sama ada aplikasi anda akan berfungsi selepas terowong dinaikkan.

Laluan dan DNS ialah peringkat kemudian sambungan, jadi hos intranet yang tidak dapat dicapai selepas log masuk berjaya ialah masalah kesambungan dan bukan masalah sijil. Kerjakan lapisan itu dan bukan menukar kelayakan, dan simpan asal profil, bahan peribadinya dan semakan identitinya bersama apabila anda memberikannya kepada sesiapa.