Ċertifikat tal-klijent iffirmat minnu nnifsu? Is-server VPN xorta jirrifjutah

L-operatur jibgħat indirizz u isem tal-utent, u l-klijent jitlob fajl CA, ċertifikat u ċavetta. Li tħejji dawn it-tlieta b'mod lokali jidher l-ovvja pass li jmiss. Tirriżulta ċertifikat li jemmin fih biss il-magna tiegħek. L-fiduċja tas-server hija ankata f'CA li int ma tikkontrollax, għalhekk il-handshake jintemm qabel ma jibda.

Il-fiduċja tgħix fuq is-server, mhux fil-profil tiegħek

L-awtentikazzjoni b'ċertifikat hija tqabbil. Il-klijent jippreżenta ċertifikat; il-gateway jiċċekkja jekk hux iffirmat minn waħda mill-CA fil-konfigurazzjoni tiegħu.

Il-profil tiegħek isemmi l-fajl CA li l-klijent għandu juża biex jivverifika s-server. Ma jistax isemmi CA li s-server għandu juża biex jivverifika lilek. Dik il-parti tal-konfigurazzjoni mhix tiegħek.

Ċertifikat li għamilt int stess ifalli dan it-tqabbil anki meta jkun teknikament perfett. Għandu firma valida, suġġett u dati, iżda l-ħarriġ huwa CA li l-gateway qatt ma sema' biha. L-iżball jidher waqt il-handshake, wara li s-server ikun diġà talab ċertifikat. Xejn fil-profil tal-klijent ma jista' jbiddel it-tweġiba.

Għaliex ċertifikat iffirmat minnu nnifsu ma jista' jieħu postu

Ċertifikat iffirmat minnu nnifsu huwa ffirmat bil-ċavetta tiegħu stess. Il-firma tiġi vverifikata kontra l-istess fajl, li jagħmilha konsistenti magħha nfisha u bla użu bħala kredenzjali għall-gateway ta' ħaddieħor.

Il-gateway ma jistaqsix jekk iċ-ċertifikat huwiex konsistenti ġewwa. Jistaqsi jekk ħarriġ affidabbli ffirmahx.

Għalhekk il-messaġġi tal-iżball huma konfużi. Il-klijent jista' jirrapporta falliment ta' verifika li jidher bħala problema tas-server, filwaqt li s-server jirreġistra ħarriġ mhux magħruf. It-tnejn jiddeskrivu l-istess nuqqas ta' qbil minn truf opposti.

It-triq tas-CSR iżżomm iċ-ċavetta privata tiegħek

Xorta tista' tagħmel il-biċċa l-kbira tax-xogħol b'mod lokali. Iġġenera par ċwievet, ibni talba għall-firma taċ-ċertifikat madwar in-nofs pubbliku, u ibgħat dik it-talba lill-operatur. Hija biss it-talba li titlaq mill-magna tiegħek. In-nofs privat jibqa' fejn iġġenerajtu.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

L-operatur jiffirma t-talba bil-CA tiegħu u jirritorna ċertifikat. Iċ-ċavetta privata tiegħek qatt ma vvjaġġat, u r-riżultat jinxteħel mal-ankra li l-gateway jafda.

Is-servizzi ġestiti spiss jaqbżu s-CSR u joħorġu l-pakkett kollu. Dan huwa skambju raġonevoli meta l-istess fornitur diġà jtemm it-tunnel u jżomm il-CA. Il-kustodja taċ-ċavetta ma titjibx billi żżommha, għax il-fornitur jista' jagħmel waħda ġdida fi kwalunkwe ħin.

Il-pakketti jiġu importati, mhux installati

Pakketti tal-fornituri b'ismijiet li jidhru siguri spiss huma profili OpenVPN. Fihom konfigurazzjoni u xi drabi ċertifikati, u ma jinstallaw xejn. Importa l-fajl f'klijent li jitkellem il-protokoll, u l-konnessjoni tiġi kkonfigurata.

Ir-regola tal-immaniġġjar tinħareġ mill-kontenut. Jekk il-profil jinkorpora ċavetta privata, hija kredenzjali u jistħoqqilha l-istess kura ta' password: l-ebda email, l-ebda repożitorju, l-ebda folder tat-tniżżil kondiviż. Meta l-operatur jipprovdi ca.crt, client.crt u client.key separatament, aħżinhom flimkien b'permessi restrittivi u indika l-profil lejhom.

Żid il-kontrolli li l-operatur jista' jkun qabeż

Profil iġġenerat mir-router xi drabi m'għandux verifika tal-pari. remote-cert-tls server jirrikjedi li ċ-ċertifikat tal-pari jġorr l-iskop tal-awtentikazzjoni tas-server, sabiex ċertifikat tal-klijent ma jistax jiġi riprodott bħala server. Dik il-linja waħda hija bidla żgħira b'ġustifikazzjoni ċara.

verify-x509-name imur aktar 'il bogħod meta l-operatur jista' jsemmi s-suġġett jew is-SAN mistennija. It-tnejn huma żidiet żgħar għall-profil, u t-tnejn huma difendibbli. Spezzjona dak li rċevejt qabel ma timportah.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Is-settings tal-verifika mhumiex tiswija għal katina miksura. Jekk il-ħarriġ huwa ħażin, it-tweġiba hija ċertifikat mill-CA t-tajba, mhux bandiera li titfi l-kontroll. Li titfi l-verifika tbiddel falliment ta' awtentikazzjoni f'wieħed li ma jinqabadx.

Itlob pakkett wieħed: iċ-ċertifikat tal-awtorità bħala PEM, ċertifikat tal-klijent iffirmat minn dik l-awtorità, ċavetta li ġġenerajt int jew li waslet permezz ta' kanal li tafda, u l-isem eżatt tas-server li ċ-ċertifikat għandu jippreżenta. Innota d-data tal-iskadenza fl-istess messaġġ, għax ċertifikat skadut jidher bħala ħsara tan-netwerk xhur wara.