Awtoffirmat kontra CA pubbliku għal VPN: x'inhu li tassew jinbidel

Tilħaq il-paġna taċ-ċertifikati ta' setup VPN, tara għażla awtoffirmata b'xejn ħdejn CA pubbliku mħallas, u l-mistoqsija tinstema' bħal għażla ta' sigurtà. Fil-verità hija għażla ta' udjenza. Iż-żewġ għażliet jgħammru l-mina bl-istess primittivi, u t-tnejn isiru bla valur jekk iċ-ċavetta privata tinxtered. Li jifridhom huwa min jagħmel id-dikjarazzjoni dwar l-identità tas-server, u min jinsab f'pożizzjoni li jivverifika dik id-dikjarazzjoni.

Ċertifikat jagħmel żewġ xogħlijiet li jiġu mħawda

Ċertifikat jorbot ċavetta pubblika ma' isem, u ċ-ċavetta tagħmel ix-xogħol tal-kriptaġġ u tal-firma. Il-firma fuq iċ-ċertifikat hija dikjarazzjoni separata: xi awtorità vverifikat li l-isem jappartjeni lil dan id-detentur taċ-ċavetta. Ċertifikat awtoffirmat jagħmel dik id-dikjarazzjoni dwaru nnifsu, li mhijiex affattu dikjarazzjoni ta' terza parti.

Is-siti web pubbliċi jeħtieġu l-verżjoni tat-terza parti, għax il-viżitaturi jaslu mingħajr relazzjoni minn qabel u jiddependu fuq il-maħżen tal-fiduċja tal-browser. Klijent VPN mhuwiex barrani. Inti tagħtih iċ-ċertifikat tas-CA, jew tiffissa ċ-ċertifikat tas-server, ġewwa l-profil li jinstalla, hekk li l-verifika ssir kontra eżattament l-awtorità li għażilt. L-ebda CA kummerċjali m'għandha tkun involuta biex dik il-verifika tfisser xi ħaġa.

Is-saħħa tas-sessjoni li tirriżulta tiġi mid-daqs taċ-ċavetta u mis-suite tal-kriptaġġ, mhux mill-firmatarju. Għalhekk is-sejħa ta' ċertifikat awtoffirmat bħala "inqas kriptat" hija sempliċement żbaljata; huwa inqas garantit b'mod wiesa', li hija proprjetà differenti.

Fejn CA pubbliku jaqla' l-miżata tiegħu

L-iktar każ ċar hija l-paġna tal-amministrazzjoni. Jekk kollegi, kuntratturi jew xi ħadd ieħor mingħajr profil ippreparat iridu jiftħu l-interface web tas-server VPN mingħajr twissija tal-browser, ċertifikat mogħti fiduċja pubblika jneħħi dik il-frizzjoni. Il-browser diġà jafda lill-firmatarju, għalhekk m'hemm xejn x'jiġi importat u xejn x'jiġi spjegat.

Dak il-konvenjenza għandha spejjeż li jixirqilhom jissemmew qabel tixtri. It-tiġdid irid jiġi awtomatizzat inkella s-sit jinkiser skont skeda, iċ-ċertifikati pubbliċi jesponu l-isem tal-host fil-logs tat-trasparenza taċ-ċertifikati, u l-limiti tar-rata tal-ħruġ jikkastigaw skript li jerġa' jipprova b'ħeġġa żejda. L-ebda waħda minn dawn mhijiex raġuni biex tevita CA pubbliku, imma hija xogħol operattiv li CA privat iċaqlaq band'oħra.

Dak li ċertifikat pubbliku ma jagħmilx huwa li jawtentika l-utenti tiegħek. L-identità tal-klijent hija deċiżjoni separata, meħuda b'ċertifikati tal-klijent, passwords jew it-tieni fattur, u s-CA li tiffirma s-server ma tgħid xejn dwar min jista' jikkonnettja miegħu.

Fejn CA privat jaqbel ma' VPN

Għal VPN privat b'sett magħruf ta' klijenti, it-tmexxija ta' CA tiegħek hija l-għażla konvenzjonali. Toħloq is-CA darba, tiffirma ċ-ċertifikat tas-server b'isem li l-klijenti se jużaw, u tqassam iċ-ċertifikat tas-CA ġewwa kull profil. Imbagħad kull klijent jivverifika s-server kontra l-awtorità tiegħek, u l-ebda parti esterna ma titgħallem l-isem tal-host.

L-ispejjeż huma reali imma limitati. Il-browsers se javżaw meta xi ħadd jiftaħ il-paġna tal-amministrazzjoni direttament, għax il-browser m'għandu l-ebda raġuni jafda s-CA tiegħek. Id-distribuzzjoni tal-profili ssir parti mill-onboarding, u li ddawwar is-CA tfisser li tmiss kull klijent. Dawk huma prezzijiet aċċettabbli għal servizz b'għaxar jew ħamsin utent magħruf u uġigħ għal endpoint pubbliku b'eluf.

Kundizzjoni waħda tagħmel l-arranġament kollu validu: il-verifika trid isseħħ. Klijent ikkonfigurat biex jinjora l-iżbalji taċ-ċertifikat jaċċetta kwalunkwe server li jippreżenta kwalunkwe ċertifikat, għalhekk il-garanzija tal-identità tispiċċa waqt li l-kriptaġġ jibqa'. Dak is-setting huwa d-dgħjufija vera fil-biċċa l-kbira tal-istejjer ta' "awtoffirmat mhuwiex sikur".

Iċ-ċavetta privata tas-CA tiddetermina x'tista' tagħmel aktar tard

Is-sorpriża normalment tasal xhur wara, meta tkun trid iżżid apparat. Il-ħruġ ta' ċertifikat tal-klijent jeħtieġ iċ-ċavetta privata tas-CA, u l-istess għall-produzzjoni ta' lista ta' revoka. Jekk wiret server li għandu l-fajls taċ-ċertifikat u taċ-ċavetta imma mhux iċ-ċavetta tas-CA, ma tistax tiffirma xejn ġdid. L-għażliet tiegħek huma li terġa' tibni l-PKI u tagħti lil kull klijent ċertifikat CA ġdid, jew li tgħaddi għall-awtentikazzjoni bil-password, li hija mudell ta' sigurtà differenti u ma treġġax lura dak li ntilif.

Żewġ nases iżgħar jgħixu fl-istess territorju. L-iskripts easy-rsa jassumu li qiegħed fid-direttorju li fihom, għalhekk żball ta' fajl nieqes normalment ifisser il-post ħażin u mhux installazzjoni bil-ħsara. U disinn b'ċertifikati biss huwa kompletament leġittimu: tista' teħtieġ ċertifikati tal-klijent mingħajr ċavetta maqsuma bil-quddiem, sakemm kull klijent ikollu waħda u s-server jivverifika l-katina.

Oħroġ ċertifikat wieħed għal kull apparat minflok ċertifikat tal-klijent maqsum wieħed għat-tim kollu. Laptop mitluf imbagħad jiswielek revoka waħda minflok ħruġ mill-ġdid għal kulħadd.

Iċċekkja x'irt

Qabel tippjana xi bidla, aqra ċ-ċertifikat li diġà għandek:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Jekk il-ħareġ huwa ugwali għas-suġġett, iċ-ċertifikat huwa awtoffirmat, li hija għażla tad-disinn u mhux difett. Id-dati jgħidulek meta t-tiġdid isir problema ta' xi ħadd, u verifika b'suċċess kontra s-CA li biħsiebek tibgħat tikkonferma li l-katina taħdem qabel ma klijent wieħed jippruvaha.

Imbagħad agħżel skont l-udjenza u d-distribuzzjoni: CA pubbliku meta browsers mhux magħrufa jridu jafdaw il-paġna tal-amministrazzjoni, CA privat meta kull klijent jirċievi profil li inti tikkontrolla. L-ebda tweġiba mhijiex iktar kriptata mill-oħra.