Għaliex l-ikkupjar ta’ ca.key fuq kull klijent VPN ikisser is-CA

Xi mkien fl-istruzzjonijiet tas-setup, direttorju jiġi kkupjat kollu fuq kull laptop għax kien eħfef milli tiddeċiedi liema fajls jappartjenu hemm. Dak id-direttorju fih ca.key, u fil-mument li jasal fuq it-tieni apparat l-awtorità taċ-ċertifikati tieqaf tkun awtorità. Kull detentur issa jista’ joħroġ identitajiet li l-bqija tan-netwerk se jafdaw.

Ta’ min jinqala’ dan il-ħassra darba, għax iż-żewġ fajls jidhru simili u jagħmlu affarijiet opposti.

Materjal tal-verifika u materjal tal-firma

Il-klijent għandu bżonn iċ-ċertifikat pubbliku tas-CA biex jivverifika li ċ-ċertifikat ippreżentat mill-parti l-oħra ġie ffirmat minn dik l-awtorità. Din hija ħidma ta’ verifika u ma teħtieġ l-ebda sigriet. L-iffirmar taċ-ċertifikat tal-parti l-oħra hija ħidma oħra, imwettqa darba minn min iħaddem is-CA, bil-muftieħ privat li qatt ma joħroġ mill-ħażna protetta tiegħu. Is-separazzjoni ta’ dawn iż-żewġ ħidmiet hija l-iskop kollu li jintbagħtu żewġ fajls.

Għalhekk ca.crt jappartjeni lill-profil u ca.key ma jappartjeni mkien fil-qrib tiegħu. L-ismijiet tal-fajls huma konvenzjoni, mhux garanzija, u għalhekk it-tip irid jiġi spezzjonat u mhux dedott mill-isem.

Arkitettura b’CA intermedja jew servizz tal-ħruġ onlajn mhija l-ebda eċċezzjoni. Din hija l-mod standard biex il-kapaċità tal-firma tinżamm ’il bogħod mill-punti tat-tarf waqt li jiġu maħruġa ċertifikati tal-apparat fuq skala kbira.

X’għandu jipprova l-klijent bil-muftieħ tiegħu stess

Kull apparat jirċievi l-par tal-mwieħel tiegħu u ċ-ċertifikat tiegħu stess, iffirmat darba mis-CA. Il-klijent jippreżenta dak iċ-ċertifikat u jipprova li għandu l-muftieħ privat li jaqbel, u s-server jiddeċiedi jekk jaċċettahx. Din hija l-identità li tiġi revokata meta laptop jintilef.

Il-kuntrast jgħodd l-aktar wara serqa. B’identitajiet għal kull apparat, klijent wieħed espost jitneħħa permezz ta’ revoka jew billi jitneħħa l-pari, u l-bqija tal-flotta tkompli taħdem.

Muftieħ tal-awtorità li jnixxi ma jistax jiġi ttrattat hekk. Kull ċertifikat li qatt iffirma jew seta’ jiffirma jsir suspettat, għalhekk ir-risposta hija sostituzzjoni tal-fiduċja u mhux revoka waħda. Dan huwa proġett, mhux biljett.

Aqra fajl qabel ma tikkupjah imkien

Żewġ kmandi jgħidulek x’tip ta’ oġġett għandek f’idejk mingħajr ma jipprintjaw l-ebda sigriet. L-ewwel wieħed isemmi s-suġġett u l-bandiera tas-CA fuq ċertifikat; it-tieni jivvalida muftieħ u jirrapporta t-tip tiegħu. Ħaddem it-tnejn fuq il-fajls fil-pakkett li se tqassam. Kull ma jivvalida bħala muftieħ privat ma jappartjenix għal direttorju tal-klijent.

openssl x509 -in ca.crt -noout -subject -ext basicConstraints
openssl pkey -in ca.key -noout -check

Jekk it-tieni kmand jirnexxi fuq fajl li jinsab f’pakkett tal-klijent, waqaf u ttratta l-pakkett bħala kompromess. Output li jgħid li muftieħ huwa validu jgħid ukoll li huwa preżenti, u l-preżenza hija l-problema kollha.

Innota wkoll id-direzzjoni l-oħra: profil tal-klijent fih b’mod leġittimu l-muftieħ privat ta’ dak il-klijent. It-tħassir ta’ kull muftieħ li ssib jaqta’ l-konnessjoni mingħajr ma jtejjeb xejn, għalhekk l-oġġett irid jiġi identifikat qabel ma jitneħħa.

Trażżin ta’ muftieħ li diġà qassamt

Tassumix li t-tħassir tal-kopja lokali jreġġa’ lura l-espożizzjoni. Kull min kellu l-fajl seta’ kkupjah, u s-suppożizzjoni sigura hija li għamel hekk. Segwi l-proċess tal-inċidenti tal-operatur u ibdel l-ankra tal-fiduċja, billi terġa’ toħroġ iċ-ċertifikati tal-apparat taħt CA ġdida.

Imbagħad ibdel l-ippakkjar li ħoloq il-problema. Ibgħat lista tad-direttorju b’lista bajda espliċita tal-fajls, żomm il-muftieħ tas-CA fuq magna li qatt ma tingħaqad mal-flotta tal-klijenti, u nnota liema sistema żżommu.

Jekk l-awtorità trid toħroġ spiss, ċaqlaq l-iffirmar wara servizz jew wara awtorità intermedja b’ambitu dejjaq u validità qasira. Hekk żball fil-futur jesponi sottosett tal-ħruġ u mhux l-għerq tal-fiduċja tal-iskjerament kollu.