د VPN لپاره ځان-لاسلیک شوی په مقابل کې عامه CA: په رښتیا څه بدلېږي

تاسو د VPN ترتیباتو د سندونو پاڼې ته رسیږئ، د وړیا ځان-لاسلیک شوي اختیار ترڅنګ د تادیه شوي عامه CA پاڼه وینئ، او پوښتنه د امنیت د انتخاب په څیر اورېدل کیږي۔ دا په حقیقت کې د لیدونکو انتخاب دی۔ دواړه اختیارونه تونل د ورته بنسټیزو عناصرو سره کوډ کوي، او دواړه بیګټې کیږي که خصوصي کیلي افشا شي۔ هغه څه چې دوی جلا کوي دا دي چې د سرور د هویت په اړه ادعا څوک کوي او په دې ادعا باندې د تصدیق کولو وړتیا څوک لري۔

یو سند دوه کارونه کوي چې ګډوډیږي

یو سند یوه عامه کیلي له یو نوم سره تړي، او کیلي د کوډ کولو او لاسلیک کولو کار کوي۔ د سند پر لاسلیک بېله اعلامیه ده: یوې واکمنۍ تصدیق کړی چې نوم د دې کیلي مالک دی۔ ځان-لاسلیک شوی سند دا اعلامیه د ځان په اړه کوي، کوم چې په هیچا کې د دریم لوري ادعا نه ده۔

عامه وېبسایټونو ته د دریم لوري نسخې ته اړتیا ده، ځکه لیدونکي پرته له مخکیني اړیکې راځي او د براوزر د باور ذخیرې باندې تکیه کوي۔ VPN کلینټ اجنبی نه دی۔ تاسو هغه ته CA سند ورکوئ، یا د هغه پروفایل دننه چې نصب یې کوي د سرور سند پن کوئ، نو تصدیق په سمه توګه ستاسو د ټاکل شوي واکمنۍ په وړاندې ترسره کیږي۔ د دې تصدیق معنی لپاره اړینه نه ده چې کوم سوداګریز CA ښکېل وي۔

د پایلې سیشن ځواک د کیلي اندازې او د کوډ کولو ټولګې څخه راځي، نه د لاسلیک کوونکي څخه۔ له همدې امله ځان-لاسلیک شوی سند "لږ کوډ شوی" بلل په ساده توګه غلط دی؛ دا لږ په پراخه توګه تضمین شوی، کوم چې بېله ځانګړتیا ده۔

چېرې عامه CA خپله فیس ګټي

تر ټولو روښانه قضیه د ادارې پاڼه ده۔ که همکاران، قرارداديان یا هر څوک چې چمتو شوی پروفایل نه لري باید د براوزر خبرداري پرته د VPN سرور وېب انټرفیس خلاص کړي، عامه باوري سند هغه خنډ لیرې کوي۔ براوزر لا دمخه لاسلیک کوونکي باور لري، نو د واردولو څه نشته او د تشریح کولو هم څه نشته۔

دې اسانتیا لګښتونه لري چې د پیرودلو دمخه یې نومول ارزښت لري۔ نوي کول باید اتوماتیک شي، که نه سایټ د مهالویش له مخې ماتېږي، عامه سندونه د سند د شفافیت ثبتونو کې کوربه نوم افشا کوي، او د خپرولو د کچې محدودیتونه هغه سکریپټ ته سزا ورکوي چې ډېر لیواله بیا هڅه کوي۔ له دې څخه هیڅ یو هم د عامه CA څخه د تېښتې لامل نه دی، مګر دا عملیاتي کار دی چې یو خصوصي CA بل ځای ته لېږدوي۔

هغه څه چې عامه سند نه کوي هغه ستاسو کاروونکو تصدیق دی۔ کلینټ هویت بېله پرېکړه ده، چې د کلینټ سندونو، پټنومونو یا دویم فاکتور سره اخیستل کیږي، او هغه CA چې سرور لاسلیک کوي د دې په اړه هیڅ نه وایي چې څوک کولی شي ورسره وصل شي۔

چېرې خصوصي CA د VPN سره ځای پیدا کوي

د پیژندل شوي کلینټ ټولګې سره خصوصي VPN لپاره خپل CA چلول دودیز انتخاب دی۔ تاسو CA یو ځل جوړوئ، د سرور سند د هغه نوم سره لاسلیک کوئ چې کلینټ به یې کاروي، او CA سند د هر پروفایل دننه توزیع کوئ۔ بیا هر کلینټ ستاسو د واکمنۍ په وړاندې سرور تصدیق کوي، او هیچا بهرني اړخ کوربه نوم نه پوهیږي۔

لګښتونه ریښتیني دي خو محدود۔ براوزران به خبرداری ورکړي کله چې څوک د ادارې پاڼه مستقیم خلاص کړي، ځکه براوزر ستاسو CA باندې د باور کولو هیڅ دلیل نه لري۔ د پروفایلونو توزیع د انبوډینګ برخه کیږي، او د CA ګرځول د هر کلینټ لمس کول معنی لري۔ دا د لسو یا پنځوسو پیژندل شوو کاروونکو خدمت لپاره منل شوي بیې دي او د زرګونو سره عامه پای ټکي لپاره دردناکې۔

یو شرط ټوله ترتیبه اعتبار ورکوي: تصدیق باید ترسره شي۔ هغه کلینټ چې د سند تېروتنو له پامه غورځولو لپاره تنظیم شوی هر هغه سرور مني چې هر سند وړاندې کوي، نو د هویت تضمین ورکیږي پداسې حال کې چې کوډ کول پاتې کیږي۔ هغه تنظیم په ډېرو "ځان-لاسلیک ناامنه دی" کیسو کې ریښتینی کمزوری دی۔

د CA خصوصي کیلي ټاکي چې وروسته څه کولی شئ

حیرانتیا معمولا میاشتې وروسته راځي، کله چې غواړئ یو وسیله اضافه کړئ۔ د کلینټ سند خپرول د CA خصوصي کیلي ته اړتیا لري، او د لغوه کولو لیست جوړول هم۔ که تاسو هغه سرور میراث واخلئ چې د سند او کیلي فایلونه لري خو د CA کیلي نه لري، تاسو نشئ کولی نوی څه لاسلیک کړئ۔ ستاسو اختیارونه دا دي چې PKI بیا جوړ کړئ او هر کلینټ ته نوی CA سند ورکړئ، یا پټنوم تصدیق ته لاړ شئ، کوم چې بېل امنیتي ماډل دی او له لاسه وتلی شی نه بیرته راولي۔

دوه کوچني تګلارې په همدې سیمه کې ژوند کوي۔ easy-rsa سکریپټونه فرض کوي چې تاسو هغه فولډر کې ولاړ یاست چې دوی لري، نو د ورک فایل تېروتنه معمولا غلط ځای ته اشاره کوي، نه خراب نصب۔ او یوازې پر سندونو ولاړ ډیزاین په بشپړه توګه قانوني دی: تاسو کولی شئ د مخکیني شریک شوي کیلي پرته کلینټ سندونه وغواړئ، په دې شرط چې هر کلینټ یو ولري او سرور سلسله تصدیق کړي۔

د ټول ټیم لپاره یو شریک کلینټ سند پرځای د هر وسیلې لپاره یو سند خپور کړئ۔ بیا ورک شوی لپ ټاپ تاسو ته د هرچا لپاره بیا خپرولو پرځای یوازې یو لغوه کول لګوي۔

وګورئ چې څه میراث واخلئ

د هر بدلون پلان کولو دمخه، هغه سند ولولئ چې دمخه یې لرئ:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

که خپرونکی له موضوع سره مساوي وي، سند ځان-لاسلیک شوی دی، کوم چې ډیزاین انتخاب دی، نه نیمګړتیا۔ نیټې تاسو ته وایي چې نوي کول کله د یو چا ستونزه کیږي، او هغه CA په وړاندې بریالی تصدیق چې تاسو یې لېږلو اراده لرئ تاییدوي چې سلسله د یو کلینټ د هڅه کولو دمخه کار کوي۔

بیا د لیدونکو او توزیع له مخې انتخاب کړئ: عامه CA کله چې ناپیژندل شوي براوزران باید د ادارې پاڼې باور وکړي، خصوصي CA کله چې هر کلینټ ستاسو کنټرول شوی پروفایل ترلاسه کوي۔ د دواړو ځوابونو څخه هیڅ یو د بل په پرتله ډېر کوډ شوی نه دی۔