Profil OpenVPN għandu tliet blokki ta' ċertifikat: liema huwa sigriet?

Tiftah fajl .ovpn biex tbiddel linja waħda u ssib tliet blokki ta' base64 li kollha jidhru bħal kredenzjali. Wieħed huwa sigur li jiġi ppubblikat, ieħor huwa sensittiv daqs password, u ieħor hija ċavetta pubblika li ma tfisser xejn sakemm xi ħaġa oħra ma tkunx iffirmata bil-par tagħha. In-nies ipejstu l-fajl kollu fi ħajt ta' appoġġ għax il-blokki jidhru li jistgħu jinbidlu, u hekk ċavetta tal-klijent tispiċċa f'arkiv pubbliku. L-għażla ta' liema blokk jagħmel xiex tispjega ħafna mill-konfużjoni madwar dawn il-profili, u tgħidlek ukoll liema ħsarat għandek tiffissa int stess.

Fajl wieħed, tliet blokki, xogħlijiet differenti

Profil tipiku jdaħħal blokk ca, blokk cert u blokk key bejn il-markaturi BEGIN u END, jew jindika lejn l-istess tlieta bħala fajls separati. Xi profili jżidu raba' blokk għal ċavetta tls-auth jew tls-crypt, li hija sigriet komuni u mhux ċertifikat. Il-klijent jaqra kull blokk skont id-direttiva li ssemmiha, għalhekk it-tikketti jiswew aktar mill-ordni li fih jidhru.

Ittratta l-profil immuntat bħala sensittiv sakemm tkun ħarist vera ġewwa. Ċertifikat pubbliku u ċavetta privata jistgħu jkunu ftit linji 'l bogħod minn xulxin fl-istess fajl, u screenshot li jinkludi l-intestatura jista' jinkludi t-tnejn. Li tgħatti l-base64 li jidher bl-idejn mhuwiex affidabbli wkoll, għax blokk parzjali xorta jaqsam il-metadejta taċ-ċertifikat li ssemmi l-varar tiegħek. Li tikkopja t-tliet direttivi mingħajr il-valuri tagħhom normalment biżżejjed biex tistaqsi mistoqsija utli.

Id-direttivi madwar il-blokki jiddeterminaw kif jintużaw. Ibdel ca u l-klijent jafda awtorità oħra; ibdel cert mingħajr ma tibdel key u l-ħsieb jaqta' b'nuqqas ta' qbil li m'għandu xejn x'jaqsam mal-fiduċja.

Il-blokk CA huwa pubbliku, iċ-ċavetta CA qatt

Awtorità taċ-ċertifikati tiffirma ċertifikati li jorbtu ċavetta pubblika ma' identità, u ċ-ċertifikat tagħha stess huwa l-ankra li biha klijent jiddeċiedi jekk katina hijiex affidabbli. Dan iċ-ċertifikat huwa pubbliku biddisinn: li tibgħatu f'kull profil huwa normali, u għalhekk varar iffirmat minnu nnifsu jista' jaħdem mingħajr awtorità kummerċjali.

Dak li qatt m'għandu jidher fi profil tal-klijent hija ċ-ċavetta privata tal-firma tal-awtorità. Il-klijent m'għandux bżonnha biex jivvalida xejn, u l-preżenza tagħha tfisser li min għandu l-profil jista' joħloq identitajiet ġodda għall-varar kollu.

Li tafda awtorità hija wkoll idjaq milli tidher. Klijent li jaċċetta kull ċertifikat iffirmat mis-CA xorta se jaċċetta ċertifikat maħruġ għal servizz ieħor fuq l-istess CA. L-għażliet li jiffissaw ir-rwol jew l-isem mistenni tas-server jagħlqu dak il-vojt, u Referenza tal-għażliet TLS telenka d-direttivi tal-verifika li jagħmlu dan.

Iċ-ċertifikati tas-server u tal-klijent jindikaw f'direzzjonijiet opposti

Iċ-ċertifikat tas-server huwa dak li l-klijent jeżamina biex jikkonferma li wasal fil-punt tat-tmiem it-tajjeb. Iċ-ċertifikat tal-klijent tiegħek imur id-direzzjoni l-oħra: is-server jużah biex jiddeċiedi li dan l-apparat jew l-utent huwa wieħed li rreġistra. L-istess format, direzzjoni tal-fiduċja opposta.

Indirizz mhuwiex identità. Li tasal fl-IP it-tajjeb ma jipprova xejn dwar min wieġeb, għalhekk il-verifika tal-isem tal-host jew tal-isem taċ-ċertifikat xorta tagħmel parti mill-profil. Password tal-kont lanqas tissostitwixxi bil-kwiet ċertifikat tal-klijent meħtieġ, għax it-tnejn jiġu vverifikati fi stadji differenti u varar jista' jitlob it-tnejn.

Iċ-ċavetta privata tal-klijent hija l-parti li trid tibqa' privata. Jekk setgħet ġiet esposta, li tħassar il-fajl mill-laptop tiegħek ma jbiddel xejn fuq is-server, li se jkompli jaċċetta ċ-ċertifikat korrispondenti sakemm l-operatur jirrevokah. Li titlob lill-operatur jissostitwixxi jew jirrevoka dik l-identità hija l-unika soluzzjoni li tivvjaġġa miegħek.

Żewġ talbiet li jidhru identiċi u mhumiex

Ċavetta maħżuna f'forma kriptata titlob passphrase qabel il-klijent ikun jista' jużaha. Is-servizz VPN jista' jitlob password tal-kont b'mod separat, u ż-żewġ talbiet jistgħu jidhru ftit sekondi 'l bogħod b'kliem kważi l-istess. Il-passphrase tipproteġi fajl fuq id-diska tiegħek; il-password tipprova kont lil server. Li tħallathom jibgħat lin-nies lejn reset tal-password li ma jistgħux jgħinu.

Aqra t-talba qabel ma tirrisettja xi ħaġa. Reset tal-password tal-kont ma jagħmel xejn għal passphrase tal-kjavi minsija, ċertifikat revokat jew skadut, u li tirrisettja l-password meta l-ħsara hija verifika taċ-ċertifikat ibiddel tiswija ta' żewġ minuti f'każ ta' appoġġ. Jekk l-ilment isemmi dati tal-validità, iċċekkja l-arloġġ tal-apparat l-ewwel, imbagħad it-tieqa taċ-ċertifikat imsemmi stess.

Meta ċ-ċertifikat ikun verament skada, is-sostituzzjoni trid tiġi minn min ħarġu. Ċavetta ta' ħaddieħor mhijiex triq ta' tiġdid, u lanqas li tissellef profil li jaħdem mingħand kollega.

X'jipprova ħsieb nadif u x'ma jippruvax

Li tasal għal ħsieb TLS komplut ifisser li r-relazzjoni tal-identità konfigurata żammet: iċ-ċertifikat tas-server inkatnar mal-CA tiegħek u ċ-ċertifikat tiegħek ġie aċċettat. Ma jgħid xejn dwar il-politika tal-loġġjar tal-operatur, u lanqas jekk l-applikazzjonijiet tiegħek se jaħdmu ladarba t-tunnel ikun imtella'.

Rotot u DNS huma stadji aktar tard tal-konnessjoni, għalhekk host tal-intranet li ma jintlaħaqx wara login b'suċċess hija problema ta' konnettività u mhux ta' ċertifikat. Aħdem fuq dak is-saff minflok ma tbiddel il-kredenzjali, u żomm flimkien l-oriġini tal-profil, il-materjal privat tiegħu u l-verifiki tal-identità tiegħu meta tagħtih lil xi ħadd.