OpenVPN پرته له CA: peer-fingerprint څنګه همکاران تاییدوي
د ګوتې نښه یو سند پین کوي، نه یو شریک راز۔ وګورئ چې ډایجسټ څه پوښي، هر اړخ خپل اجازه لړلیک څنګه جوړوي او نوی کول څه لګښت لري۔
یو کوچنی ځای پر ځای کول ګوتې نښو ته مخه کوي ځکه چې د سند واکمني داسې زیربنا ښکاري چې هیڅوک یې د چلولو وخت نه لري۔ غریزه سمه ده، خو هغه لنډه لار چې خلک یې پر ځای نیسي—د یوې ډیټا کانال پټ راز دواړو سرونو ته کاپي کول—نه ده۔ د peer-fingerprint ترتیب د TLS جوړښت ټینګ ساتي: هر اړخ لا هم خپل شخصي کیلي او سند لري، او هر اړخ لا هم بل تاییدوي۔ چې څه بدلیږي هغه دا دي چې تایید چېرې لنګر دی: له باوري صادروونکي څخه تر پین شویو ډایجسټونو لنډ لړلیک پورې۔ ځکه چې ډایجسټ ټول سند پوښي نه یوازې نوم، نو نوی کول هغه کار ګرځي چې واقعاً وخت نیسي۔
د ګوتې نښه په رښتیا څه ژمنه کوي
د سند ګوته نښه د DER-کوډ شوي ټول سند ډایجسټ دی، نه د هغې عامه کیلي او نه د هغې د موضوع نوم۔ نو هغه دوه سندونه چې یو شان نومونه او یوه کیلي لري خو بېلې د اعتبار نیټې لري، بېلې ګوتې نښې لري۔ همدا پین کول دقیق کوي، او همدا نوی کول ګډوډوونکی کوي۔ پین کول نشي کولی په عمومي ډول د یوې کیلي باور مانا ولري، ځکه چې دا یو شی د هغه د ژوند په یوه شیبه نوموي۔ هر څوک کولی شي ډایجسټ وپېژني، او پېژندل یې په خپله څه نه ثابتوي۔
openssl x509 -in server.crt -noout -fingerprint -sha256
openssl x509 -in client-07.crt -noout -fingerprint -sha256د ورته شخصي کیلي درلودل هغه څه دي چې ثابتوي همکار هغه سند لري، او ډایجسټ هغه لار ده چې بل اړخ پرې فیصله کوي چې ایا هغه دا سند په اصل کې تمه کړې وه که نه۔ همدا بېلوالی لامل دی چې دا ډیزاین د پخواني شریک راز ترتیب نه دی: شریکه کیلي هر هغه څوک تصدیقوي چې ورته بایټونه پېژني، خو پین کول یو سند تصدیقوي۔ بېل وسیله خپله ننوتنه ترلاسه کوي نه د همدې راز کاپي، چې په فایلونو کې کوچنی توپیر او د زیان په پراخوالي کې لوی توپیر دی۔
نقشه دوه اړخیزه ده، نه سیمټریک
هر پای ټکی دوه شیان غواړي: خپله شخصي کیلي د سند سره، او یو بیان چې کوم همکار سندونه به ومني۔ په کلاینټ کې هغه بیان د سرور د سند ډایجسټ دی؛ په سرور کې هغه د ثبت شویو کلاینټونو د ډایجسټونو لړلیک دی۔ Community 2.6 لپاره د کوچني ترتیب رسمي بېلګه peer-fingerprint سره ترتیب ښیي، او د واقعي ځای پر ځای کولو لپاره د دې باور ماډل غوره کولو دمخه یې لوستل ارزښت لري۔ دوه لوري یو اړول شوی لړلیک نه دی، او دوی په یوه شیبه کې ناکام نه شي۔
| Verification direction | What is pinned | What never leaves that endpoint | How a wrong pin shows up |
|---|---|---|---|
| Client checks the server | One digest, for the server certificate | The server private key | The client aborts during the TLS handshake |
| Server checks the client | A digest per enrolled client | Each client private key | The server rejects the peer before a tunnel exists |
د وسیلې اضافه کول په سرور کې د اجازه لړلیک سمون کوي، پرته له دې چې د شته کلاینټ شخصي مواد کاپي کړي او پرته له دې چې د سرور کیلي چېرته واړوي۔ دوه لوري په خپلواکه توګه هم ناکام شي، چې د تشخیص پر مهال ګټور دی: کوم اړخ چې لاس ورکول بندوي، هماغه اړخ دی چې تمه یې نه ده پوره شوې۔ که کلاینټ سرور رد کړي، ډایجسټ د وړاندې شوي سند سره نه ځي۔ که سرور کلاینټ رد کړي، د هغه کلاینټ ډایجسټ په لړلیک کې نشته، یا کلاینټ د ثبت شوي څخه بېل سند وړاندې کوي۔
ثبت: نوی وسیله څنګه یوځای کیږي
د نوي وسیلې کیلي او سند هغه ځای جوړ کړئ چې شخصي کیلي به وي، بیا یوازې عامه شی هغه اړخ ته یوسئ چې باید پین یې کړي۔ تمه شوی ډایجسټ له هغه کانال څخه ولېږئ چې تاسو لا دمخه باور ورته لرئ، او د پېژندل شوي ښکاره نوم پر ځای ټول سند پرتله کړئ۔ هغه ډایجسټ چې د سند سره له هماغه ناڅاپي ډاونلوډ څخه کاپي شوی وي یوازې دا ثابتوي چې دوه فایلونه یو بل سره ځي۔ دا د یووالي کتنه ده نه د پېژندنې، او دا تر ټولو غلی لار ده چې دا ډیزاین پرې کمزوری کیږي۔
په سرور کې، د ډایجسټ اضافه کول یو د ترتیباتو بدلون دی چې له نورمال مدیر څخه تېریږي او وروسته یې بیا نښلول کیږي۔ تایید کړئ چې نوی وسیله نښلي او هغه وسیله چې ډایجسټ یې لرې شوی نور نه نښلي۔ هغه ازموینه چې یوازې مثبته پېښه پوښي اجازه لړلیک ناکتنه پرېږدي، او شپږ میاشتې وروسته به تاسو په همدې حالت کې یاست۔
نوی کول ګران پل دی
هر سند پای ته رسي، او نوی سند نوی ډایجسټ لري حتی کله چې کیلي او نومونه هماغه پاتې شي۔ د صادروونکي لاندې نوی کول هغو همکارانو لپاره روښانه دی چې هغه صادروونکی باوري بولي؛ د پین کولو لاندې دا د هر هغه همکار لپاره د ثبت پېښه ده چې سند پین کوي۔
ترتیب د پای نیټې څخه دمخه پلان کړئ نه وروسته۔ نوی ډایجسټ هغو خواوو ته ووېشئ چې تایید یې کوي، بدلون پلي کړئ، او یوازې له هغه وروسته په پای ټکي کې سند بدل کړئ۔ دا ترتیب هغه کړکۍ نه پرېږدي چې دواړه خواوې په دې کې سره نه جوړیږي چې کوم سند اوسنی دی۔ لړلیک خپله هم د بیاکتنې لاندې وساتئ، ځکه پین شوی لړلیک د هغو وسیلو ننوتنې راټولوي چې میاشتې دمخه لرې شوې۔ هر زوړ ننوتنه هغه پېژندنه ده چې که کیلي یې ژوندۍ پاتې شي لا هم تصدیقیږي، نو یو یې لرې کول پاکوالی نه دی بلکې امنیتي اقدام دی۔
باور نقشه څه نه فیصله کوي
تصدیق یو پوړ دی، او پین شوی نقشه د پتې حوض، د ټېل شویو لارو، د لارې MTU یا د فایر وال تګلارې په اړه څه نه وایي۔ دا بېل ترتیبات او بېلې ناکامۍ پاتې کیږي۔ هغه تونل چې تصدیقیږي خو هیڅ ترافیک نه تېروي، له هغه چې هیڅکله نه پورته کیږي بېله څېړنه ده۔
نقشه هم بې حده نه پراخیږي، او لوی ځای پر ځای کول صادروونکي-بنډ PKI ته رسي۔ دا غوره توب د عملیاتو په اړه دی نه د کریپټوګرافي، ځکه چې د بېړۍ په لویېدو سره د هر همکار په لړلیک سمون څخه د یوې واکمنۍ له لارې پېژندنې اضافه او لرې کول ارزانه دي۔ چېرې چې د کلاینټ تطبیق دا انتخاب نه ملاتړ کوي، هلته ځواب هغه مطابق باور ماډل دی چې هغه کلاینټ یې مستند کوي، یا ملاتړ شوی بدیل۔ د تایید خبرداری فشارول هغه ملاتړ نه زیاتوي، او د ډیزاین ټول ارزښت دا دی چې تایید لا هم کیږي۔