VPN का लागि स्व-हस्ताक्षरित बनाम सार्वजनिक CA: वास्तवमा के बदलिन्छ

तपाईं VPN सेटअपको प्रमाणपत्र पृष्ठमा पुग्नुहुन्छ, निःशुल्क स्व-हस्ताक्षरित विकल्पलाई सशुल्क सार्वजनिक CA को छेउमा देख्नुहुन्छ, र प्रश्न सुरक्षा छनोटजस्तो सुनिन्छ। यो वास्तवमा दर्शकको छनोट हो। दुवै विकल्पले सुरुङलाई एउटै आधारभूत तत्वहरूले इन्क्रिप्ट गर्छन्, र निजी कुञ्जी चुहिएमा दुवै बेकार हुन्छन्। तिनीहरूलाई छुट्याउने कुरा भनेको सर्भरको पहिचानबारे दाबी कसले गर्छ र त्यो दाबी जाँच्ने स्थितिमा को छ भन्ने हो।

प्रमाणपत्रले दुई काम गर्छ जसलाई भ्रमित गरिन्छ

प्रमाणपत्रले सार्वजनिक कुञ्जीलाई नामसँग बाँध्छ, र कुञ्जीले इन्क्रिप्शन र हस्ताक्षरको काम गर्छ। प्रमाणपत्रमा रहेको हस्ताक्षर छुट्टै कथन हो: कुनै अधिकारीले नाम यो कुञ्जी धारकको हो भनी जाँचेको छ। स्व-हस्ताक्षरित प्रमाणपत्रले त्यो कथन आफ्नैबारे गर्छ, जुन तेस्रो पक्षको दाबी नै होइन।

सार्वजनिक वेबसाइटहरूलाई तेस्रो पक्षको संस्करण चाहिन्छ, किनकि आगन्तुकहरू कुनै पूर्वसम्बन्ध बिना आउँछन् र ब्राउजरको विश्वास भण्डारमा भर पर्छन्। VPN क्लाइन्ट अपरिचित होइन। तपाईंले यसलाई CA प्रमाणपत्र दिनुहुन्छ, वा यसले स्थापना गर्ने प्रोफाइलभित्र सर्भर प्रमाणपत्र पिन गर्नुहुन्छ, त्यसैले प्रमाणीकरण ठ्याक्कै तपाईंले छान्नुभएको अधिकारीविरुद्ध चल्छ। त्यो जाँचको अर्थ हुनका लागि कुनै व्यावसायिक CA संलग्न हुनु आवश्यक छैन।

परिणामस्वरूप सत्रको बल कुञ्जीको आकार र सिफर सुटबाट आउँछ, हस्ताक्षरकर्ताबाट होइन। त्यसैले स्व-हस्ताक्षरित प्रमाणपत्रलाई "कम इन्क्रिप्टेड" भन्नु बिल्कुल गलत हो; यो कम व्यापक रूपमा जमानत गरिएको छ, जुन फरक गुण हो।

सार्वजनिक CA ले आफ्नो शुल्क कहाँ कमाउँछ

सबैभन्दा स्पष्ट मामला प्रशासन पृष्ठ हो। यदि सहकर्मी, ठेकेदार वा तयार प्रोफाइल नभएको कसैले पनि ब्राउजर चेतावनी बिना VPN सर्भरको वेब इन्टरफेस खोल्नुपर्छ भने, सार्वजनिक रूपमा विश्वसनीय प्रमाणपत्रले त्यो घर्षण हटाउँछ। ब्राउजरले पहिले नै हस्ताक्षरकर्तालाई विश्वास गर्छ, त्यसैले आयात गर्न केही छैन र बुझाउन पनि केही छैन।

त्यो सुविधाका लागतहरू छन् जुन खरिदअघि नाम दिन लायक छन्। नवीकरण स्वचालित हुनुपर्छ नत्र साइट तालिकाअनुसार बिग्रन्छ, सार्वजनिक प्रमाणपत्रहरूले प्रमाणपत्र पारदर्शिता लगमा होस्टनाम खुलासा गर्छन्, र जारी दर सीमाले अत्यधिक उत्साहका साथ फेरि प्रयास गर्ने स्क्रिप्टलाई दण्ड दिन्छ। यीमध्ये कुनै पनि सार्वजनिक CA बेवास्ता गर्ने कारण होइन, तर यो सञ्चालन कार्य हो जुन निजी CA ले अन्यत्र सार्छ।

सार्वजनिक प्रमाणपत्रले नगर्ने काम भनेको तपाईंका प्रयोगकर्ताहरूलाई प्रमाणित गर्नु हो। क्लाइन्ट पहिचान छुट्टै निर्णय हो, क्लाइन्ट प्रमाणपत्र, पासवर्ड वा दोस्रो कारकद्वारा लिइन्छ, र सर्भरमा हस्ताक्षर गर्ने CA ले यसमा कसले जोडिन सक्छ भन्नेबारे केही भन्दैन।

निजी CA VPN मा कहाँ फिट हुन्छ

ज्ञात क्लाइन्ट समूह भएको निजी VPN का लागि आफ्नै CA चलाउनु परम्परागत छनोट हो। तपाईं CA एक पटक बनाउनुहुन्छ, क्लाइन्टहरूले प्रयोग गर्ने नामले सर्भर प्रमाणपत्रमा हस्ताक्षर गर्नुहुन्छ, र प्रत्येक प्रोफाइलभित्र CA प्रमाणपत्र वितरण गर्नुहुन्छ। त्यसपछि प्रत्येक क्लाइन्टले तपाईंको अधिकारीविरुद्ध सर्भर प्रमाणित गर्छ, र कुनै बाह्य पक्षले होस्टनाम थाहा पाउँदैन।

लागतहरू वास्तविक तर सीमित छन्। कसैले प्रशासन पृष्ठ सिधै खोल्दा ब्राउजरहरूले चेतावनी दिन्छन्, किनकि ब्राउजरसँग तपाईंको CA मा विश्वास गर्ने कारण छैन। प्रोफाइल वितरण अनबोर्डिङको भाग बन्छ, र CA घुमाउनु भनेको प्रत्येक क्लाइन्टलाई छुनु हो। दस वा पचास ज्ञात प्रयोगकर्ता भएको सेवाका लागि यी स्वीकार्य मूल्य हुन् र हजारौं भएको सार्वजनिक अन्त्य बिन्दुका लागि पीडादायक।

एउटा सर्तले सम्पूर्ण व्यवस्था वैध बनाउँछ: प्रमाणीकरण हुनै पर्छ। प्रमाणपत्र त्रुटि बेवास्ता गर्न कन्फिगर गरिएको क्लाइन्टले कुनै पनि प्रमाणपत्र प्रस्तुत गर्ने कुनै पनि सर्भर स्वीकार गर्छ, त्यसैले इन्क्रिप्शन रहन्छ तर पहिचानको जमानत हराउँछ। त्यही सेटिङ "स्व-हस्ताक्षरित असुरक्षित छ" भन्ने अधिकांश कथाको वास्तविक कमजोरी हो।

CA को निजी कुञ्जीले पछि तपाईं के गर्न सक्नुहुन्छ भन्ने निर्धारण गर्छ

आश्चर्य सामान्यतया महिनौंपछि आउँछ, जब तपाईं उपकरण थप्न चाहनुहुन्छ। क्लाइन्ट प्रमाणपत्र जारी गर्न CA को निजी कुञ्जी चाहिन्छ, र रद्दीकरण सूची बनाउन पनि। यदि तपाईंलाई प्रमाणपत्र र कुञ्जी फाइल भएको तर CA कुञ्जी नभएको सर्भर विरासतमा मिल्यो भने, तपाईं नयाँ केही पनि हस्ताक्षर गर्न सक्नुहुन्न। तपाईंका विकल्पहरू PKI पुनर्निर्माण गरेर प्रत्येक क्लाइन्टलाई नयाँ CA प्रमाणपत्र दिनु, वा पासवर्ड प्रमाणीकरणमा जानु हो, जुन फरक सुरक्षा मोडेल हो र गुमेको कुरा फर्काउँदैन।

एउटै क्षेत्रमा दुई साना जालहरू बस्छन्। easy-rsa स्क्रिप्टहरूले तपाईं तिनीहरू भएको डाइरेक्टरीमा उभिनुभएको छ भनी मान्छन्, त्यसैले हराएको फाइलको त्रुटिले सामान्यतया गलत स्थान जनाउँछ, बिग्रिएको स्थापना होइन। र प्रमाणपत्रमा मात्र आधारित डिजाइन पूर्ण रूपमा वैध छ: पूर्व-साझा कुञ्जी बिना क्लाइन्ट प्रमाणपत्र आवश्यक गर्न सक्नुहुन्छ, प्रत्येक क्लाइन्टसँग एउटा छ र सर्भरले शृंखला प्रमाणित गर्छ भन्ने सर्तमा।

सम्पूर्ण टोलीका लागि एउटा साझा क्लाइन्ट प्रमाणपत्रको सट्टा प्रत्येक उपकरणका लागि एउटा प्रमाणपत्र जारी गर्नुहोस्। त्यसपछि हराएको ल्यापटपले तपाईंलाई सबैका लागि पुनः जारी गर्नुको सट्टा एउटै रद्दीकरणको खर्च दिन्छ।

तपाईंले विरासतमा के पाउनुभयो जाँच्नुहोस्

कुनै पनि परिवर्तन योजना गर्नुअघि, तपाईंसँग पहिले नै भएको प्रमाणपत्र पढ्नुहोस्:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

यदि जारीकर्ता विषयसँग बराबर छ भने, प्रमाणपत्र स्व-हस्ताक्षरित हो, जुन डिजाइनको छनोट हो, दोष होइन। मितिहरूले नवीकरण कहिले कसैको समस्या बन्छ भनी बताउँछन्, र तपाईंले पठाउने सोचेको CA विरुद्ध सफल प्रमाणीकरणले कुनै पनि क्लाइन्टले प्रयास गर्नुअघि शृंखला काम गर्छ भनी पुष्टि गर्छ।

त्यसपछि दर्शक र वितरणअनुसार छान्नुहोस्: अज्ञात ब्राउजरहरूले प्रशासन पृष्ठमा विश्वास गर्नुपर्दा सार्वजनिक CA, प्रत्येक क्लाइन्टले तपाईंको नियन्त्रणको प्रोफाइल पाउँदा निजी CA। दुवै उत्तरमध्ये एउटा अर्कोभन्दा बढी इन्क्रिप्टेड छैन।