VPN සඳහා ස්වයං-අත්සන් කළ versus පොදු CA: ඇත්තටම වෙනස් වන්නේ කුමක්ද

ඔබ VPN සැකසුමක සහතික පිටුවට ළඟා වෙයි, නොමිලේ ස්වයං-අත්සන් කළ විකල්පයක් ගෙවන පොදු CA එකක් අසල දකියි, සහ ප්‍රශ්නය ආරක්ෂක තේරීමක් ලෙස පෙනේ. ඇත්ත වශයෙන් එය ප්‍රේක්ෂක තේරීමකි. විකල්ප දෙකම උමං එකම මූලික අංගවලින් සංකේතනය කරයි, සහ පෞද්ගලික යතුර කාන්දු වුවහොත් දෙකම වටිනාකමක් නැති වේ. ඒවා වෙන් කරන්නේ සේවාදායකයේ අනන්‍යතාව ගැන ප්‍රකාශය කවුරුන් කරයිද සහ එම ප්‍රකාශය පරීක්ෂා කිරීමේ තත්ත්වයේ කවුරුන් සිටීද යන්නයි.

සහතිකයක් ව්‍යාකූල වන කාර්යයන් දෙකක් කරයි

සහතිකයක් පොදු යතුරක් නමකට බැඳ තබයි, සහ යතුර සංකේතන සහ අත්සන් කිරීමේ කාර්යය කරයි. සහතිකයේ ඇති අත්සන වෙනම ප්‍රකාශයකි: යම් අධිකාරියක් නම මෙම යතුරු හිමියාට අයත් බව පරීක්ෂා කර ඇත. ස්වයං-අත්සන් කළ සහතිකයක් එම ප්‍රකාශය තමා ගැනම කරයි, එය තෙවන පාර්ශ්ව ප්‍රකාශයක් නොවේ.

පොදු වෙබ් අඩවිවලට තෙවන පාර්ශ්ව අනුවාදය අවශ්‍ය වේ, මන්ද අමුත්තන් පෙර සම්බන්ධතාවයකින් තොරව පැමිණ බ්‍රවුසරයේ විශ්වාස ගබඩාව මත රඳා පවතී. VPN සේවාලාභියා අමුත්තෙක් නොවේ. ඔබ ඔහුට CA සහතිකය දෙයි, නැතහොත් ඔහු ස්ථාපනය කරන පැතිකඩ තුළ සේවාදායක සහතිකය පින් කරයි, එබැවින් සත්‍යාපනය ඔබ තෝරාගත් අධිකාරියට එරෙහිව නිශ්චිතව ධාවනය වේ. එම පරීක්ෂාවට අර්ථයක් තිබීමට කිසිදු වාණිජ CA එකක් සම්බන්ධ විය යුතු නැත.

ප්‍රතිඵල සැසියේ ශක්තිය යතුරු ප්‍රමාණය සහ සංකේතන කට්ටලයෙන් පැමිණේ, අත්සන් කරන්නාගෙන් නොවේ. එබැවින් ස්වයං-අත්සන් කළ සහතිකයක් "අඩුවෙන් සංකේතනය කළ" ලෙස හැඳින්වීම සරලව වැරදිය; එය අඩුවෙන් පුළුල් ලෙස සහතික කර ඇත, එය වෙනත් ගුණාංගයකි.

පොදු CA එකක් තම ගාස්තුව උපයන්නේ කොහෙන්ද

වඩාත් පැහැදිලි අවස්ථාව වන්නේ පරිපාලන පිටුවයි. සගයන්, කොන්ත්‍රාත්කරුවන් හෝ සූදානම් කළ පැතිකඩක් නැති ඕනෑම අයෙකු බ්‍රවුසර අනතුරු ඇඟවීමකින් තොරව VPN සේවාදායකයේ වෙබ් අතුරුමුහුණත විවෘත කළ යුතු නම්, පොදුවේ විශ්වාසනීය සහතිකයක් එම ඝර්ෂණය ඉවත් කරයි. බ්‍රවුසරය දැනටමත් අත්සන් කරන්නා විශ්වාස කරයි, එබැවින් ආයාත කිරීමට කිසිවක් නැති අතර පැහැදිලි කිරීමට ද කිසිවක් නැත.

එම පහසුවට මිලදී ගැනීමට පෙර නම් කිරීමට වටිනා පිරිවැයක් ඇත. අලුත් කිරීම ස්වයංක්‍රීය කළ යුතුය, නැතහොත් අඩවිය කාලසටහනකට අනුව කැඩී යයි, පොදු සහතික සහතික විනිවිදභාවය සටහන්වල සත්කාරක නාමය හෙළි කරයි, සහ නිකුතු වේග සීමා ඉතා උනන්දුවෙන් නැවත උත්සාහ කරන ස්ක්‍රිප්ටයට දඬුවම් කරයි. මේ කිසිවක් පොදු CA මඟ හැරීමට හේතුවක් නොවේ, නමුත් එය පෞද්ගලික CA වෙනත් තැනකට ගෙන යන මෙහෙයුම් කාර්යයකි.

පොදු සහතිකයක් නොකරන දෙය නම් ඔබේ පරිශීලකයින් සත්‍යාපනය කිරීමයි. සේවාලාභී අනන්‍යතාවය වෙනම තීරණයකි, සේවාලාභී සහතික, මුරපද හෝ දෙවන සාධකයකින් ගනු ලැබේ, සහ සේවාදායකය අත්සන් කරන CA එයට සම්බන්ධ විය හැක්කේ කා යන්න ගැන කිසිවක් නොකියයි.

පෞද්ගලික CA එකක් VPN එකකට ගැළපෙන්නේ කොහෙන්ද

දන්නා සේවාලාභී කට්ටලයක් සහිත පෞද්ගලික VPN එකකට ඔබේම CA එකක් පවත්වාගෙන යාම සාම්ප්‍රදායික තේරීමයි. ඔබ CA එක වරක් සාදයි, සේවාලාභීන් භාවිතා කරන නමකින් සේවාදායක සහතිකය අත්සන් කරයි, සහ සෑම පැතිකඩක් තුළම CA සහතිකය බෙදාහරියි. එවිට සෑම සේවාලාභියෙක්ම ඔබේ අධිකාරියට එරෙහිව සේවාදායකය සත්‍යාපනය කරයි, සහ කිසිදු බාහිර පාර්ශ්වයක් සත්කාරක නාමය නොදනී.

පිරිවැය සැබෑ නමුත් සීමිතය. යමෙක් පරිපාලන පිටුව සෘජුව විවෘත කරන විට බ්‍රවුසර අනතුරු අඟවනු ඇත, මන්ද බ්‍රවුසරයට ඔබේ CA විශ්වාස කිරීමට හේතුවක් නැත. පැතිකඩ බෙදාහැරීම ආරම්භක ක්‍රියාවලියේ කොටසක් බවට පත්වේ, සහ CA මාරු කිරීම යනු සෑම සේවාලාභියෙකුම ස්පර්ශ කිරීමයි. දහයක් හෝ පනහක් දන්නා පරිශීලකයින් සහිත සේවාවකට මේවා පිළිගත හැකි මිල ගණන් වන අතර දහස් ගණනක් සහිත පොදු අන්ත ලක්ෂ්‍යයකට වේදනාකාරී ය.

එක් කොන්දේසියක් මුළු විධිවිධානයම වලංගු කරයි: සත්‍යාපනය සිදු විය යුතුය. සහතික දෝෂ නොසලකා හරින්නට වින්‍යාස කළ සේවාලාභියා ඕනෑම සහතිකයක් ඉදිරිපත් කරන ඕනෑම සේවාදායකයක් පිළිගනී, එබැවින් සංකේතනය රැඳී තිබියදී අනන්‍යතා සහතිකය අතුරුදහන් වේ. එම සැකසුම "ස්වයං-අත්සන් කළ දේ අනාරක්ෂිතය" කථා බොහොමයක ඇති සැබෑ දුර්වලතාවයයි.

CA හි පෞද්ගලික යතුර පසුව ඔබට කළ හැකි දේ තීරණය කරයි

පුදුමය සාමාන්‍යයෙන් මාස ගණනකට පසු, ඔබ උපාංගයක් එකතු කිරීමට කැමති විට පැමිණේ. සේවාලාභී සහතිකයක් නිකුත් කිරීමට CA හි පෞද්ගලික යතුර අවශ්‍ය වේ, අවලංගු කිරීමේ ලැයිස්තුවක් සෑදීමට ද එසේමය. සහතික සහ යතුරු ගොනු ඇති නමුත් CA යතුර නැති සේවාදායකයක් ඔබට උරුම වූවා නම්, ඔබට අලුතින් කිසිවක් අත්සන් කළ නොහැක. ඔබේ විකල්ප නම් PKI නැවත ගොඩනඟා සෑම සේවාලාභියෙකුටම නව CA සහතිකයක් දීම, නැතහොත් මුරපද සත්‍යාපනයට මාරු වීමයි; එය වෙනත් ආරක්ෂක ආකෘතියක් වන අතර නැති වූ දේ නැවත ලබා නොදේ.

එම භූමි ප්‍රදේශයේම කුඩා උගුල් දෙකක් ජීවත් වේ. easy-rsa ස්ක්‍රිප්ට් ඒවා අඩංගු නාමාවලියේ ඔබ සිටින බව උපකල්පනය කරයි, එබැවින් නැති වූ ගොනු දෝෂයක් සාමාන්‍යයෙන් අදහස් වන්නේ වැරදි ස්ථානයක් මිස හානි වූ ස්ථාපනයක් නොවේ. සහ සහතික පමණක් ඇති නිර්මාණයක් සම්පූර්ණයෙන්ම නීත්‍යානුකූලය: පෙර-බෙදාගත් යතුරක් නොමැතිව සේවාලාභී සහතික ඉල්ලා සිටිය හැක, සෑම සේවාලාභියෙකුටම එකක් තිබේ නම් සහ සේවාදායකය දාමය සත්‍යාපනය කරයි නම්.

මුළු කණ්ඩායම සඳහා එක් හවුල් සේවාලාභී සහතිකයක් වෙනුවට සෑම උපාංගයකටම එක් සහතිකයක් නිකුත් කරන්න. එවිට නැති වූ ලැප්ටොප් පරිගණකයක් ඔබට සැමට නැවත නිකුත් කිරීම වෙනුවට එක් අවලංගු කිරීමක් පමණක් වැය කරයි.

ඔබට උරුම වූ දේ පරීක්ෂා කරන්න

කිසිදු වෙනසක් සැලසුම් කිරීමට පෙර, ඔබට දැනටමත් ඇති සහතිකය කියවන්න:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

නිකුත් කරන්නා විෂයට සමාන නම්, සහතිකය ස්වයං-අත්සන් කළ එකකි, එය නිර්මාණ තේරීමක් මිස දෝෂයක් නොවේ. දිනයන් ඔබට කියන්නේ අලුත් කිරීම කවදාද යමෙකුගේ ගැටලුවක් වන්නේද යන්නයි, සහ ඔබ යැවීමට සැලසුම් කරන CA එකට එරෙහිව සාර්ථක සත්‍යාපනයක් එක් සේවාලාභියෙකු පවා උත්සාහ කිරීමට පෙර දාමය ක්‍රියා කරන බව තහවුරු කරයි.

පසුව ප්‍රේක්ෂකයින් සහ බෙදාහැරීම අනුව තෝරන්න: නාඳුනන බ්‍රවුසර පරිපාලන පිටුව විශ්වාස කළ යුතු විට පොදු CA, සෑම සේවාලාභියෙකුම ඔබ පාලනය කරන පැතිකඩක් ලබන විට පෞද්ගලික CA. පිළිතුරු දෙකෙන් එකක්වත් අනෙකට වඩා වැඩිපුර සංකේතනය කර නැත.