CA නැතිව OpenVPN: peer-fingerprint සහකරුවන් තහවුරු කරන ආකාරය
ඇඟිලි සටහනක් එක් සහතිකයක් පින් කරයි, හවුල් රහසක් නොවේ. ඩයිජස්ට් ආවරණය කරන දේ, සෑම පැත්තක්ම තම අවසර ලැයිස්තුව ගොඩනගන ආකාරය සහ නවීකරණයේ මිල කුමක්දැයි බලන්න.
කුඩා යෙදවුමක් ඇඟිලි සටහන් වෙත යොමු වන්නේ සහතික අධිකාරිය කිසිවෙකුට කළමනාකරණය කිරීමට කාලය නැති යටිතල පහසුකමක් ලෙස පෙනෙන නිසාය. ස්වභාවික ප්‍රවණතාව සාධාරණය, නමුත් ඊට වෙනුවට මිනිසුන් ගන්නා කෙටි මාර්ගය—එක් දත්ත නාලිකා රහසක් දෙකෙළවරටම පිටපත් කිරීම—එසේ නොවේ. peer-fingerprint සැකසුම TLS ව්‍යුහය නොවෙනස්ව තබා ගනී: සෑම පැත්තක්ම තමන්ගේම පෞද්ගලික යතුර සහ සහතිකය තවමත් රඳවා ගනී, සහ සෑම පැත්තක්ම අනෙක් පැත්ත තවමත් තහවුරු කරයි. වෙනස් වන්නේ තහවුරු කිරීම කොතැනක නැංගුරම් ලා ඇත්ද යන්නයි: විශ්වාසනීය නිකුත් කරන්නෙකුගෙන් පින් කළ ඩයිජස්ට්වල කෙටි ලැයිස්තුවක් දක්වා. ඩයිජස්ට් නමක් නොව මුළු සහතිකයම ආවරණය කරන බැවින්, නවීකරණය සැබවින්ම කාලය ගන්නා කාර්යයක් බවට පත් වේ.
ඇඟිලි සටහන ඇත්තටම කැපවන දේ
සහතිකයේ ඇඟිලි සටහන යනු DER-කේතනය කළ මුළු සහතිකයේම ඩයිජස්ට් එකකි, එහි පොදු යතුරේ හෝ එහි විෂය-නාමයේ නොවේ. එබැවින් එකම නම් සහ එකම යතුර නමුත් වෙනස් වලංගුතා දින ඇති සහතික දෙකකට වෙනස් ඇඟිලි සටහන් ඇත. එයම පින් කිරීම නිවැරදි කරයි, එයම නවීකරණය බාධාකාරී කරයි. පින් කිරීම සාමාන්‍යයෙන් යතුරක් කෙරෙහි විශ්වාසය යන්න අදහස් කළ නොහැක, මන්ද එය එක් වස්තුවක් එහි ජීවිතයේ එක් මොහොතක නම් කරයි. ඕනෑම කෙනෙකුට ඩයිජස්ට් දැනගත හැක, එය දැනගැනීම තනිවම කිසිවක් ඔප්පු නොකරයි.
openssl x509 -in server.crt -noout -fingerprint -sha256
openssl x509 -in client-07.crt -noout -fingerprint -sha256ගැළපෙන පෞද්ගලික යතුර ඇති බවම ඔප්පු කරන්නේ සහකරුට එම සහතිකය ඇති බවයි, සහ ඩයිජස්ට් යනු අනෙක් පැත්ත එම සහතිකය ඇත්තෙන්ම බලාපොරොත්තු වූවාද නැද්ද යන්න තීරණය කරන ක්‍රමයයි. මෙම වෙන්වීමම හේතුව මෙම නිර්මාණය පැරණි හවුල්-රහස් විධිවිධානය නොවන්නේ: හවුල් යතුර එකම බයිට් දන්නා ඕනෑම කෙනෙකු සත්‍යාපනය කරයි, පින් කිරීම එක් සහතිකයක් සත්‍යාපනය කරයි. වෙනත් උපාංගයකට එකම රහසේ පිටපතක් නොව තමන්ගේම සටහනක් ලැබේ, එය ගොනුවල කුඩා වෙනසක් සහ හානියේ විශාලත්වයේ විශාල වෙනසක්.
සිතියම පරස්පරයි, සමමිතික නොවේ
සෑම අන්ත ලක්ෂ්‍යයකටම දේවල් දෙකක් අවශ්‍යය: තමන්ගේම පෞද්ගලික යතුර සහ සහතිකය, සහ කුමන සහකරු සහතික පිළිගන්නා බවට ප්‍රකාශයක්. සේවාදායකයා තුළ එම ප්‍රකාශය සර්වර් සහතිකයේ ඩයිජස්ට් වේ; සර්වරයේ එය ලියාපදිංචි සේවාදායක ඩයිජස්ට්වල ලැයිස්තුවයි. Community 2.6 සඳහා කුඩා සැකසුමක නිල උදාහරණය peer-fingerprint සමඟ සැකැස්ම පෙන්වයි, සහ සැබෑ යෙදවුමක් සඳහා මෙම විශ්වාස ආකෘතිය තෝරා ගැනීමට පෙර එය කියවීම වටී. දිශා දෙකක් එක් පෙරළුණු ලැයිස්තුවක් නොවේ, ඒවා එකම මොහොතේ අසාර්ථක නොවේ.
| Verification direction | What is pinned | What never leaves that endpoint | How a wrong pin shows up |
|---|---|---|---|
| Client checks the server | One digest, for the server certificate | The server private key | The client aborts during the TLS handshake |
| Server checks the client | A digest per enrolled client | Each client private key | The server rejects the peer before a tunnel exists |
උපාංගයක් එකතු කිරීම සර්වරයේ අවසර ලැයිස්තුවක් සංස්කරණය කරයි, දැනට ඇති සේවාදායකයාගේ පෞද්ගලික ද්‍රව්‍ය පිටපත් නොකර, සර්වර් යතුර කොහේවත් නොසරසා. දිශා දෙක ස්වාධීනවද අසාර්ථක වේ, එය රෝග විනිශ්චයේදී ප්‍රයෝජනවත් වේ: කුමන පැත්ත අතට අත දීම වසා දමයිද, එය බලාපොරොත්තුව ඉටු නොවූ පැත්තයි. සේවාදායකයා සර්වරය ප්‍රතික්ෂේප කරන්නේ නම්, ඩයිජස්ට් ඉදිරිපත් කළ සහතිකය සමඟ නොගැළපේ. සර්වරය සේවාදායකයා ප්‍රතික්ෂේප කරන්නේ නම්, එම සේවාදායකයාගේ ඩයිජස්ට් ලැයිස්තුවේ නැත, නැතහොත් සේවාදායකයා ලියාපදිංචි එකට වඩා වෙනස් සහතිකයක් ඉදිරිපත් කරයි.
ලියාපදිංචිය: නව උපාංගයක් එක්වන ආකාරය
නව උපාංගයේ යතුර සහ සහතිකය පෞද්ගලික යතුර රැඳෙන තැනම ජනනය කරන්න, පසුව පොදු වස්තුව පමණක් එය පින් කළ යුතු පැත්තට ගෙන යන්න. අපේක්ෂිත ඩයිජස්ට් ඔබ දැනටමත් විශ්වාස කරන නාලිකාවක් හරහා යවන්න, සහ හුරුපුරුදු ලෙස පෙනෙන නමක් වෙනුවට මුළු සහතිකයම සසඳන්න. සහතිකය සමඟ එම තහවුරු නොකළ බාගැනීමෙන් පිටපත් කළ ඩයිජස්ට් ඔප්පු කරන්නේ ගොනු දෙක එකිනෙකට ගැළපෙන බව පමණි. මෙය ස්ථාවරත්ව පරීක්ෂාවක්, අනන්‍යතා පරීක්ෂාවක් නොවේ, සහ මෙය මෙම නිර්මාණය දුර්වල වන නිහඬම මාර්ගයයි.
සර්වරයේ, ඩයිජස්ට් එකතු කිරීම සාමාන්‍ය කළමනාකරු හරහා යන වින්‍යාස වෙනසක් වන අතර ඉන් පසු නැවත සම්බන්ධ වීම සිදු වේ. නව උපාංගය සම්බන්ධ වන බවත් ඩයිජස්ට් ඉවත් කළ උපාංගය තවදුරටත් සම්බන්ධ නොවන බවත් තහවුරු කරන්න. ධනාත්මක අවස්ථාව පමණක් ආවරණය කරන පරීක්ෂණයක් අවසර ලැයිස්තුව තහවුරු නොකළ තත්ත්වයේ තබයි, සහ මාස හයකින් ඔබ සිටින්නේ හරියටම එම තත්ත්වයේය.
නවීකරණය මිල අධික මොහොතයි
සෑම සහතිකයක්ම කල් ඉකුත් වේ, යතුර සහ නම් එකම ලෙස පැවතුණත් නව සහතිකයකට නව ඩයිජස්ට් එකක් ඇත. නිකුත් කරන්නෙකු යටතේ නවීකරණය එම නිකුත් කරන්නා විශ්වාස කරන සහකරුවන්ට විනිවිද පෙනේ; පින් කිරීම යටතේ එය සහතිකය පින් කරන සෑම සහකරුවෙකුටම ලියාපදිංචි සිදුවීමකි.
කල් ඉකුත් වන දිනයට පසුව නොව පෙර, අනුපිළිවෙල සැලසුම් කරන්න. නව ඩයිජස්ට් එය තහවුරු කරන පාර්ශ්වවලට බෙදාහරින්න, වෙනස යොදන්න, ඉන් පසුව පමණක් අන්ත ලක්ෂ්‍යයේ සහතිකය මාරු කරන්න. එම අනුපිළිවෙල කුමන සහතිකය වත්මන්ද යන්න ගැන පැති දෙක එකඟ නොවන කවුළුවක් නොතබයි. ලැයිස්තුවම ද සමාලෝචනය යටතේ තබන්න, මන්ද පින් කළ ලැයිස්තුවක් මාස ගණනකට පෙර ඉවත් කළ උපාංග සඳහා සටහන් එකතු කරයි. සෑම පැරණි සටහනක්ම එහි යතුර නොනැසී පවතී නම් තවමත් සත්‍යාපනය වන අනන්‍යතාවකි, එබැවින් එකක් ඉවත් කිරීම පිරිසිදු කිරීමක් නොව ආරක්ෂක ක්‍රියාවකි.
විශ්වාස සිතියම තීරණය නොකරන දේ
සත්‍යාපනය එක් ස්ථරයකි, පින් කළ සිතියම ලිපින තටාකය, තල්ලු කළ මාර්ග, මාර්ගයේ MTU හෝ ෆයර්වෝල් ප්‍රතිපත්තිය ගැන කිසිවක් නොකියයි. ඒවා වෙනම වින්‍යාසයක් සහ වෙනම අසාර්ථක වීමේ ක්‍රම සහිතව පවතී. සත්‍යාපනය වන නමුත් කිසිදු ගමනාගමනයක් නොයවන උමං මාර්ගයක් කිසිදා නොනැගෙන එකකට වඩා වෙනස් විමර්ශනයකි.
සිතියම ද අසීමිතව පරිමාණය නොවේ, සහ විශාල යෙදවුම් නිකුත් කරන්නා පාදක PKI වෙත පැමිණ නතර වේ. එම මනාපය ක්‍රිප්ටෝග්‍රැෆිය ගැන නොව මෙහෙයුම් ගැන ය, මන්ද බලඇණිය වර්ධනය වන විට සෑම සහකරුවෙකුම ලැයිස්තුව සංස්කරණය කිරීමට වඩා එක් අධිකාරියක් හරහා අනන්‍යතා එකතු කිරීම සහ ඉවත් කිරීම ලාභදායී ය. සේවාදායක ක්‍රියාත්මක කිරීමක් මෙම විකල්පයට සහාය නොදක්වන විට, පිළිතුර වන්නේ එම සේවාදායකයා ලේඛනගත කරන ගැළපෙන විශ්වාස ආකෘතියක් හෝ සහාය දක්වන ආදේශකයකි. තහවුරු කිරීමේ අවවාදය යටපත් කිරීම එම සහාය එකතු නොකරයි, සහ නිර්මාණයේ මුළු වටිනාකම තහවුරු කිරීම තවමත් සිදු වීමයි.