हरेक VPN क्लाइन्टमा ca.key प्रतिलिपि गर्नुले CA किन भत्काउँछ
क्लाइन्टले CA को सार्वजनिक प्रमाणपत्र जाँच्छ; हस्ताक्षर गर्ने कुञ्जी त्यसलाई कहिल्यै चाहिँदैन। ca.key हरेक यन्त्रमा प्रतिलिपि गर्नु भनेको एउटा प्रतिलिपि लिने जो कोहीलाई जारी गर्ने अधिकार दिनु हो।
सेटअप निर्देशनहरूमा कतै, कुन फाइलहरू त्यहाँ हुनुपर्ने हो भनेर निर्णय गर्नुभन्दा सजिलो भएकोले एउटा डाइरेक्टरी हरेक ल्यापटपमा पूरै प्रतिलिपि गरिन्छ। त्यो डाइरेक्टरीमा ca.key छ, र त्यो दोस्रो यन्त्रमा पुग्ने क्षणमा प्रमाणपत्र प्राधिकरण प्राधिकरण रहँदैन। अब जो कोही धारकले बाँकी सञ्जालले विश्वास गर्ने पहिचानहरू जारी गर्न सक्छ।
यो अन्योल एकचोटि सुल्झाउन लायक छ, किनकि दुवै फाइल देख्दा उस्तै तर काममा विपरीत छन्।
प्रमाणीकरण सामग्री र हस्ताक्षर सामग्री
सामुन्नेको पक्षले प्रस्तुत गरेको प्रमाणपत्र त्यही प्राधिकरणले हस्ताक्षर गरेको हो कि भनेर जाँच्न क्लाइन्टलाई CA को सार्वजनिक प्रमाणपत्र चाहिन्छ। यो प्रमाणीकरणको काम हो र यसलाई कुनै गोप्य कुराको आवश्यकता पर्दैन। सामुन्नेको पक्षको प्रमाणपत्रमा हस्ताक्षर गर्नु अर्को काम हो, जुन CA चलाउने व्यक्तिले एकचोटि, आफ्नो सुरक्षित भण्डारबाट कहिल्यै ननिस्कने निजी कुञ्जीले गर्छ। यी दुई काम अलग राख्नु नै दुई फाइल पठाउनुको पूरै उद्देश्य हो।
त्यसैले ca.crt प्रोफाइलमा पर्छ र ca.key त्यसको नजिक कतै पर्दैन। फाइलका नाम एउटा परम्परा हुन्, ग्यारेन्टी होइन, त्यसैले नामबाट अनुमान नगरी प्रकार जाँच्नुपर्छ।
मध्यस्थ CA वा अनलाइन जारी सेवा भएको संरचना यसको अपवाद होइन। ठूलो मात्रामा यन्त्र प्रमाणपत्र जारी गर्दै हस्ताक्षर गर्ने क्षमता अन्तिम बिन्दुहरूबाट टाढा राख्ने यही मानक तरिका हो।
क्लाइन्टले आफ्नै कुञ्जीले के प्रमाणित गर्नुपर्छ
हरेक यन्त्रले आफ्नै कुञ्जी जोडी र आफ्नै प्रमाणपत्र पाउँछ, जसमा CA ले एकचोटि हस्ताक्षर गर्छ। क्लाइन्टले त्यो प्रमाणपत्र प्रस्तुत गर्छ र मिल्ने निजी कुञ्जी आफूसँग भएको प्रमाणित गर्छ, र सर्भरले स्वीकार्ने वा नगर्ने निर्णय गर्छ। ल्यापटप हराउँदा रद्द हुने पहिचान यही हो।
चोरीपछि यो भिन्नता सबैभन्दा महत्त्वपूर्ण हुन्छ। प्रत्येक यन्त्रका लागि छुट्टै पहिचान हुँदा खुला भएको एउटा क्लाइन्ट रद्द गरेर वा सामुन्नेको पक्ष हटाएर निकालिन्छ, र बाँकी बेडा काम गरिरहन्छ।
चुहिएको प्राधिकरणको कुञ्जीलाई यसरी ह्यान्डल गर्न सकिँदैन। यसले अहिलेसम्म हस्ताक्षर गरेको वा गर्न सक्ने प्रत्येक प्रमाणपत्र शंकास्पद हुन्छ, त्यसैले प्रतिक्रिया एउटा रद्द होइन, विश्वासको प्रतिस्थापन हो। यो एउटा परियोजना हो, टिकट होइन।
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
फाइल कतै पनि प्रतिलिपि गर्नुअघि पढ्नुहोस्
दुई आदेशले कुनै गोप्य कुरा नछापी तपाईंको हातमा कुन प्रकारको वस्तु छ भन्ने बताउँछन्। पहिलोले प्रमाणपत्रमा विषय र CA झन्डा बताउँछ; दोस्रोले कुञ्जी प्रमाणित गरी त्यसको प्रकार जनाउँछ। तपाईं वितरण गर्न लागेको बन्डलका फाइलहरूमा दुवै चलाउनुहोस्। निजी कुञ्जीका रूपमा प्रमाणित हुने कुनै पनि कुरा क्लाइन्ट डाइरेक्टरीमा हुनुहुँदैन।
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
क्लाइन्ट बन्डलमा रहेको फाइलमा दोस्रो आदेश सफल भयो भने रोक्नुहोस् र बन्डललाई सम्झौता भएको मान्नुहोस्। कुञ्जी वैध छ भन्ने आउटपुटले त्यो उपस्थित छ भनेर पनि भन्छ, र उपस्थिति नै पूरै समस्या हो।
उल्टो दिशातिर पनि ध्यान दिनुहोस्: क्लाइन्ट प्रोफाइलमा त्यो क्लाइन्टको आफ्नै निजी कुञ्जी कानुनी रूपमा हुन्छ। भेटिएको हरेक कुञ्जी मेटाउँदा केही सुधार नगरी जडान टुट्छ, त्यसैले हटाउनुअघि वस्तु पहिचान गर्नुपर्छ।
पहिले नै वितरण गरिसकेको कुञ्जीलाई नियन्त्रणमा राख्नु
स्थानीय प्रतिलिपि मेटाउँदा खुलासा उल्टिन्छ भनेर नठान्नुहोस्। फाइल भएको जो कोहीले प्रतिलिपि गर्न सक्थे, र सुरक्षित अनुमान भनेको उसले गर्यो भन्ने हो। अपरेटरको घटना प्रक्रिया पछ्याउनुहोस् र विश्वासको लङ्गर बदल्नुहोस्, नयाँ CA अन्तर्गत यन्त्र प्रमाणपत्रहरू पुनः जारी गर्दै।
त्यसपछि समस्या सिर्जना गर्ने प्याकेजिङ बदल्नुहोस्। फाइलहरूको स्पष्ट अनुमति सूचीसहित डाइरेक्टरी सूची पठाउनुहोस्, CA कुञ्जी क्लाइन्ट बेडामा कहिल्यै नजोडिने मेसिनमा राख्नुहोस्, र कुन प्रणालीले त्यो राख्छ भनी अभिलेख गर्नुहोस्।
प्राधिकरणले बारम्बार जारी गर्नुपर्ने भए हस्ताक्षर गर्ने काम साँघुरो दायरा र छोटो वैधता भएको सेवा वा मध्यस्थ प्राधिकरणको पछाडि सार्नुहोस्। त्यसो गर्दा भविष्यको गल्तीले पूरै तैनाथीको विश्वासको जरालाई होइन, जारीको एउटा भागलाई मात्र खुलासा गर्छ।