ස්වයං-අත්සන් කළ VPN සහතිකය: එයින් අදහස් වන්නේ කුමක්ද සහ එය විශ්වාස කරන්නේ කුමක්ද
ස්වයං-අත්සන් කළ VPN සහතිකයක් තවමත් ගමනාගමනය සංකේතනය කරයි. වෙනස් වන්නේ ඔබ එය විශ්වාස කරන ලෙස පැවසූ කාටද, එම විශ්වාසය ලබන ගබඩාව කුමක්ද සහ ඉතිරි වන පරීක්ෂණ මොනවාද යන්නයි.
මෙහි වැඩිම හානිය කරන්නේ විශ්වාස දෙකකි: ස්වයං-අත්සන් කළ VPN සහතිකයක් යනු උමඟ සංකේතනය නොකළ බවයි, සහ VPN සේවාලාභියා ඉල්ලූ කුමක් හෝ ස්ථාපනය කිරීම VPNට පමණක් බලපාන බවයි. දෙකම සැබෑ යෙදවුමක් සමඟ සම්බන්ධ වූ විට නොපවතී. ස්වයං-අත්සන් කළ සහතිකයක් අත්සන් සම්බන්ධතාවයක් විස්තර කරයි, ආරක්ෂක තීන්දුවක් නොවේ, සහ ඔබ එකතු කරන විශ්වාසයේ පරාසය එය කුමන ගබඩාවකට වැටේද යන්න මත රඳා පවතී. උපකාරක සේවාවක් එක් අනතුරු ඇඟවීමක් නිහඬ කිරීමට සැපයුම්කරුගේ මූලයක් Windows යන්ත්‍රයකට ආයාත කර, පසුව බ්‍රව්සරය අසම්බන්ධ පෝටලයක් ගැන පැමිණිලි කිරීම නතර කළේ ඇයිදැයි පැහැදිලි කරමින් සවස් වරුවක් ගත කළ අයුරු මම දැක ඇත්තෙමි. මෙම ප්‍රශ්නයේ කොටස් දෙක එකට අයත්ය, එබැවින් ඒවා එකක් ලෙස සලකන්න.
සහතිකයක් යනු විශ්වාස ගබඩාවක් නොවේ
සේවාදායකය ඉදිරිපත් කරන ගොනුවේ පොදු යතුරක්, විෂය නාමයක්, නිකුත් කරන්නාගේ නාමයක්, වලංගු දිනයන් සහ දිගු කිරීම් ඇත. ස්වයං-අත්සන් යනු විෂය සහ නිකුත් කරන්නා එකම ආයතනය වන අතර අත්සන සහතිකයේම යතුරෙන් තහවුරු වන බවයි. එම අර්ථ දැක්වීමේ කිසිවක් සම්බන්ධතාවය දුර්වල යැයි නොකියයි, සහ සේවාලාභියා එය පිළිගනු ඇතැයි ද කිසිවක් නොකියයි.
පිළිගැනීම වෙනත් තැනකින් එයි: ඔබ සේවාලාභියා යොමු කරන CA ගොනුවක්, ඔබ අතින් සංසන්දනය කරන ඇඟිලි සලකුණක්, හෝ සේවාලාභියා කියවන ගබඩාවක දැනටමත් ඇති මූලයක්. යෙදවුමක් සම්පූර්ණයෙන්ම සුවපහසු විය හැකි අතර එහි සහතිකය සෑම පොදු පරීක්ෂණයකම අසමත් වනු ඇත. openssl verify පද්ධති කාණ්ඩයට එරෙහිව නොදන්නා නිකුත් කරන්නෙකු වාර්තා කරනු ඇත, එම වාර්තාව දෝෂයක් නොව නිවැරදිය.
OpenVPN හි ca විකල්පය යෙදුම්-සීමිත විශ්වාසයේ පැහැදිලිම අවස්ථාවයි. එම ගොනුව සේවාලාභියා පිළිගන්නා නැංගුරම් නම් කරයි, සහ එහි එක් පෞද්ගලික CA එකක් හෝ කුඩා යෙදවුමක සේවාදායකයේම ස්වයං-අත්සන් කළ සහතිකය තිබිය හැක. 2.6 අනුවාදය CA ගොනුවක් බෙදා හැරීම වෙනුවට SHA-256 ඇඟිලි සලකුණක් ඇමිණීමට --peer-fingerprint ද පිළිගනී. WireGuard තවත් දුරයි: එහි සහතික කිසිවක් නැත, එක් එක් සහකරු සඳහා ස්ථිතික පොදු යතුරක් පමණි, එබැවින් ස්වයං-අත්සන් ප්‍රශ්නය එයට අදාළ නොවේ.
ඔබ විශ්වාසය ස්ථාපනය කරන තැන එය උරුම වන්නේ කාටද යන්න තීරණය කරයි
එකම සහතිකය තැන් තුනක තැබුවොත් ඔබට වෙනස් පිපිරුම් අරය තුනක් ලැබේ. VPN සේවාලාභියා පමණක් කියවන කාණ්ඩය එම සේවාලාභියාට බලපායි. මෙහෙයුම් පද්ධති ගබඩාවේ මූලයක් එම ගබඩාවෙන් උපදෙස් ගන්නා සෑම වැඩසටහනකටම බලපායි. තමන්ගේම විශ්වාස දත්ත සමුදායක් ඇති බ්‍රව්සරයක් දෙකම නොසලකා හැරිය හැක, එබැවින් වැඩ කළ බව පෙනුණු ආයාතයකින් පසුවද අනතුරු ඇඟවීමක් ඉතිරි විය හැක.
Debian හෝ Ubuntu තුළ, /usr/local/share/ca-certificates/ තුළ ගොනුවක් දැමීම සහ update-ca-certificates ක්‍රියාත්මක කිරීම පද්ධති-පුළුල් කාණ්ඩය වෙනස් කරයි. Windows තුළ, certutil -addstore -f Root යන්ත්‍ර ගබඩාවට ලියන අතර උසස් කළ විධාන දල අවශ්‍ය වේ, නමුත් -user එකතු කිරීම වෙනුවට වත්මන් පරිශීලකයාගේ ගබඩාව ඉලක්ක කරයි; දෙක එකිනෙකට හුවමාරු කළ නොහැක. Firefox තමන්ගේම NSS දත්ත සමුදායක් තබා ගනී, එබැවින් OS මට්ටමේ ආයාතයක් එහි කිසිදා නොපෙනෙන්නට පුළුවන.
විෂය පථය වැදගත් වන්නේ අධිකාරියකට කළ හැකි දේ නිසාය. නිකුත් කරන CA ට සම්බන්ධතාවයක් නැති නාම සඳහා අත්සන් කළ හැක, එබැවින් එම ගබඩාව විශ්වාස කරන සියල්ල එම අත්සන් පිළිගනු ඇත. එක් ඇමිණූ පත්‍රයකට එය කළ නොහැක; එය හරියටම එක් සහකරු අනන්‍යතාවයක් සත්‍යාපනය කරයි. ඉලක්කය එක් VPN එකක් සම්බන්ධ කිරීම නම්, යෙදුම්-සීමිත CA එකක් හෝ ඇමිණූ පත්‍රයක් එයට ළඟා වේ, නමුත් යන්ත්‍ර-පුළුල් මූලයක් රෝග ලක්ෂණය ඉල්ලන ප්‍රමාණයට වඩා ගොඩක් විශාල සහනයකි.
ඔබ තවමත් පොදු CA එකක් නොමැතිව සංකේතනය කරයි
TLS අතට අත දීම සැසි යතුරු ලබා ගනී, සහකරුගේ සහතිකය ඔබ දැනටමත් විශ්වාස කරන කිසිවකට දාමයක් වේද නොවේද යන්න නොසලකා. ස්වයං-අත්සන් යනු සරල පෙළ යැයි නොවේ, සහ ගමනාගමනය පියාසර කරන අතරතුර කියවිය හැකි යැයි ද නොවේ. එයින් අදහස් වන්නේ සේවාලාභියාට යතුර තමා ඉල්ලූ සේවාදායකයට අයත් බව විශ්වාස කිරීමට කලින් සිටම හේතුවක් නොමැති බවයි.
එම පරතරයේ තමයි සැබෑ ප්‍රහාර ජීවත් වන්නේ. ඕනෑම සහතිකයක් පිළිගැනීමට වින්‍යාස කළ සේවාලාභියෙක්, අක්‍රීය කළ සත්‍යාපන සැකසුමක් හරහා හෝ එක් වරක් එබී අමතක වූ “කෙසේ වුවත් විශ්වාස කරන්න” බොත්තමක් හරහා, පිළිතුරු දෙන ඕනෑම කෙනෙකුට සතුටින් සංකේතනය කරයි. බාධා කිරීම සත්‍යාපන පියවරේදී, යෙදුම් දත්ත චලනය වීමට පෙර සිදු වේ. අනන්‍යතා පරීක්ෂාවක් නොමැතිව සංකේතනය නිෂ්ක්‍රීය නිරීක්ෂකයෙකු පිටත තබා තව ටිකක් පමණක් කරයි.
නිකුත් කරන්නා විශ්වාස කිරීම නාම පරීක්ෂාව මඟ හරින්නේ නැත
දාම සත්‍යාපනය, නාම ගැළපීම සහ සහතිකයේ අරමුණ වෙන වෙනම තීරණ. නාමය වැරදි වන අතර දාමය වලංගු විය හැක, සහ සහතිකය වෙනත් භූමිකාවකට නිකුත් කර ඇති අතර නාමය ගැළපිය හැක. RFC 5280 එම සීමා රැගෙන යන ක්ෂේත්‍ර නිර්වචනය කරයි, සහ සේවාලාභියා ඒවා කෙතරම් දැඩිව බලාත්මක කරයිද යන්න එක් එක් යෙදුමේ කාරණයකි.
OpenVPN වෙන්වීම දෘශ්‍ය කරයි. verify-x509-name name, name-prefix හෝ subject ගැළපීම හරහා අපේක්ෂිත විෂය ඇමිණයි. remote-cert-tls server සහකරුගේ සහතිකය සේවාදායක සහතිකයක් ලෙස භාවිත කළ හැකි විය යුතුය, එය නිකුත් කරන්නා විශ්වාස කළත් සේවාලාභී-පමණක් සහතිකයක් ප්‍රතික්ෂේප කරයි. දෙකෙන් එකක්වත් CA ගොනුවක් යැවීමෙන් ප්‍රතිස්ථාපනය නොවේ.
කිසිවක් තීරණය කිරීමට පෙර සහතිකය පරීක්ෂා කරන්න:
openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltNameඑය කවුරුන් නිකුත් කළේද, කුමන නාම සඳහාද සහ කවදා දක්වාද යන්න පෙන්වයි.openssl verify -CAfile ca.crt server.crtඔබ යැවීමට සැලසුම් කරන දාමය පත්‍රය සත්‍යාපනය කරන්නේදැයි පරීක්ෂා කරයි.openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -CAfile ca.crt -verify_return_errorවෙබ් පෝටලයක් වැනි TLS අන්ත ලක්ෂ්‍ය සඳහා ක්‍රියා කරයි; 1194 හි OpenVPN ප්‍රොටෝකෝලය සාමාන්‍ය TLS ධාරාවක් නොවේ, එබැවින් එම පරීක්ෂණය එහි අදාළ නොවේ.
කල් ඉකුත් වූ දිනයක්, ඔබ සම්බන්ධ වන නාමයට subjectAltName නොමැති වීම, හෝ serverAuth භාවිතය නොමැති වීම ඇති සහතිකයක් නැංගුරම කෙතරම් සැලකිල්ලෙන් ස්ථාපනය කළත් අසමත් වේ.
එකක් පිළිගැනීමට පෙර පරීක්ෂණ පහක්
ඔබ අලුත්වැඩියා කිරීමට උත්සාහ කරන සම්බන්ධතාවය නොවන නාලිකාවක් හරහා ඇඟිලි සලකුණ සංසන්දනය කරන්න: කොන්සෝලයක්, ඔබට දැනටමත් ඇති ස්ථාපකයක්, අත්සන් කළ වින්‍යාස ගොනුවක්. සේවාදායකයේ openssl x509 -in server.crt -noout -fingerprint -sha256 සහ සේවාලාභී ලොගයේ එම අගය එකම වස්තුවක් දෙස බලන බව දැන ගැනීමට ප්‍රමාණවත්ය.
ඊළඟට, ඔබ ස්ථාපනය කරන්නේ කුමක්ද යන්න තීරණය කරන්න: එක් පත්‍රයක් හෝ තවත් තැටි ගැසිය හැකි අධිකාරියක්. එවිට එය යන්නේ කොහේද යන්න තීරණය කරන්න, සහ එම ගබඩාව කියවන යෙදුම් නම් කරන්න. ඉවත් කිරීමේ මාර්ගය තවමත් මතක ඇති විට ලියා තබන්න, මන්ද විශ්වාස-කර-ඉදිරියට-යන්න යනු තාවකාලික ආයාතයක් ස්ථිර වන ආකාරයයි.
අවසාන වශයෙන්, වෙනස සැලසුම් කරන්න. ඇමිණූ සහතිකයක් හෝ ඇඟිලි සලකුණක් සහතිකය කරකැවෙන විට එම විශ්වාසදායක නාලිකාව හරහා යාවත්කාලීන කළ යුතුය, සහ පෞද්ගලික CA එකකට තමන්ගේම නිකුතු සහ අවලංගු කිරීමේ ජීවන චක්‍රයක් ඇත. පෞද්ගලික යතුර කාන්දු වුවහොත්, එම සහතිකයේම පිටපතක් නැවත විශ්වාස කිරීම කිසිවක් අලුත්වැඩියා නොකරයි; අනන්‍යතාවය ප්‍රතිස්ථාපනය කළ යුතුය.
අනතුරු ඇඟවීමක් පරීක්ෂණ පහමෙන් ඉතිරි වුවහොත්, ප්‍රයෝජනවත් ප්‍රශ්නය එය නිහඬ කරන්නේ කුමන බොත්තමද යන්න නොව, සේවාලාභියා ඇත්තටම කියවන්නේ කුමන ගබඩාවද සහ එම මූලය පැමිණියේ කොහෙන්ද යන්නයි. ඊට පිළිතුරු දෙන්න, එවිට ඔබ කිරීමට යන ආයාතය ප්‍රතික්‍රියාවක් වෙනුවට තීරණයක් බවට පත් වේ.