පරිවර්තනය කිරීමට පෙර: SSH යතුර සහ OpenVPN සහතිකය

සහතික දෝෂයක් සමඟ ආයාතය අසාර්ථක වේ, එබැවින් පැහැදිලි පියවර පරිවර්තනයක් ලෙස පෙනේ. එම ප්‍රවණතාව මිනිසුන් ගෙන යන්නේ ගොනු දිගුව වෙනස් වන නමුත් ප්‍රතික්ෂේපය හරියටම එලෙසම රැඳෙන මාර්ගයකටය. authorized_keys හි ssh-ed25519 පේළිය සහ OpenVPN සේවාලාභී සහතිකය වෙන වෙනම අක්තපත්‍ර වස්තු වේ, වෙනස් නිකුත් කරන්නන්, වෙනස් කේතන සහ වෙනස් අවලංගු කිරීමේ මාර්ග සහිතව. මෙම පරීක්ෂණ අනුපිළිවෙලින් කළහොත් පරිවර්තනයකින් කිසිසේත් උදව් විය හැකිදැයි විනාඩියකින් දැනගත හැක.

ඔබ සැබවින්ම අතේ ඇත්තේ කුමන වස්තුවද?

මිනිසුන් යතුර ලෙස හඳුන්වන දේ පහක් ඇත, ඒවායින් එකක් පමණක් TLS පැතිකඩකට අවශ්‍ය දෙයයි. SSH පොදු යතුර යනු වර්ග උපසර්ගයක් සහ base64 ගෙඩියක් සහිත එක් පෙළ පේළියකි. OpenSSH සහතිකය යනු එම යතුර සමඟ අත්සනක්, principals සහ විකල්ප, ssh-keygen තමන්ගේම කුඩා CA ලෙස ක්‍රියා කරමින් නිපදවන. X.509 සහතිකය සම්පූර්ණයෙන්ම වෙනස් ව්‍යුහයකි, එය විෂය, වලංගුතා කවුළුව, දිගු කිරීම් සහ සහතික අධිකාරියක අත්සන දරයි. පෞද්ගලික යතුර රහස් අර්ධයයි, නිකුත් කළ බණ්ඩලය සාමාන්‍යයෙන් එක් ගොනුවක සහතිකය, එහි දාමය සහ පෞද්ගලික යතුර වේ.

පළමු පරීක්ෂණයට එක් විධානයක් පමණක් ගත වේ. openssl ගොනුව වෙත යොමු කර සහතිකයේ ව්‍යුහය විශ්ලේෂණය කරන ලෙස ඉල්ලන්න:

openssl x509 -in client.crt -noout -subject -issuer

එය unable-to-load හෝ PEM දෝෂයකින් අසාර්ථක වුවහොත්, ඔබ එයට දුන් නම කුමක් වුවත් ගොනුව X.509 සහතිකයක් නොවේ. නම වෙනස් කිරීම ඇතුළත ASN.1 නැවත නොලියයි, පොදු යතුරු පේළියක් PEM ශීර්ෂ පෙළක ඔතා ද එය නොකරයි.

පැතිකඩ සහතිකයක් ඉල්ලා සිටිනවාද?

සේවාලාභී සහතික ක්‍රම කිහිපයක් අතර එක් සත්‍යාපන ක්‍රමයකි, ක්‍රියා කරන බොහෝ TLS පැතිකඩ කිසිදා එකක් ඉල්ලා නොසිටියි. සේවාදායකයකට ප්ලගිනයක්, පරිශීලක නාමයක් සහ මුරපදයක්, හෝ ටෝකන් පසුතලයක් හරහා පරිශීලකයන් සත්‍යාපනය කළ හැකි අතර, සේවාලාභියාගෙන් සේවාදායකයේ අනන්‍යතාවය තහවුරු කිරීම ඉල්ලා සිටියි. පැතිකඩෙහි සේවාලාභී-සහතික උපදෙසක් නොමැති නම් කිසිදා සහතිකයක් ඉල්ලා නොසිටිනු ඇත, කිසිදු පරිවර්තනයක් ද්වාරයට එකක් ඉල්ලීමට සලස්වන්නේ නැත.

පැරණි ස්ථිතික-යතුරු වින්‍යාස තුන්වන අවස්ථාවයි. ඒවා TLS අත්ගැසීමට පෙර සිට පවතින අතර කලින් බෙදාගත් රහස් ගොනුවක් අපේක්ෂා කරයි, එබැවින් එම ක්ෂේත්‍රයට පොදු යතුරක් අලවා ද ක්‍රියා නොකරයි. අක්තපත්‍රය වැරදියැයි තීරණය කිරීමට පෙර පැතිකඩ ඇත්තෙන්ම ඉල්ලන්නේ කුමක්දැයි කියවන්න.

නැවත කේතනයට කළ හැකි දේ සහ නොහැකි දේ

පෞද්ගලික යතුරුවලට සැබවින්ම නීත්‍යානුකූල විකල්ප බහාලුම් ඇත. එම RSA හෝ EC යතුර සාම්ප්‍රදායික PEM ලෙස, PKCS#8 ලෙස, හෝ PKCS#12 බණ්ඩලයක් තුළ ලිවිය හැක, උපකරණ සතුටින් ඒවා අතර පරිවර්තනය කරයි. පොදු යතුරුවලටද සමාන කතාවක් ඇත: ssh-keygen SSH යතුරක RFC 4716 ආකාරය නිකුත් කළ හැක, OpenSSH තමන්ගේම සහතික ආකෘතියද තේරුම් ගනී. ඒ සියල්ල නිරූපණයකි, නිරූපණය විශ්වාසය නොවේ.

පරිවර්තනයට කළ නොහැකි දෙය නම් ඔබේ යතුර කිසිදා නොදුටු සහතික අධිකාරියක අත්සනක් සෑදීමයි. සහතිකයක් යනු යම් පොදු යතුරක් යම් අරමුණක් සඳහා යම් විෂයකට අයත් බව නිකුත් කරන්නාගේ ප්‍රකාශයකි. නැවත කේතනය යතුරේ බයිට රඳවා ප්‍රකාශය නොපවතින ලෙස තබයි, එබැවින් ද්වාරයට තම විශ්වාස ගබඩාව සමඟ ගැළපීමට කිසිවක් නැත.

බොහෝ උත්සාහයන් නිහඬව අසාර්ථක වන පියවර මෙයයි: ගොනුව දැන් .crt වලින් අවසන් වේ, සේවාලාභියා එය පැමිණිල්ලකින් තොරව කියවයි, අත්ගැසීම තවමත් නතර වන්නේ අනෙක් පාර්ශවයට විශ්වාසදායක නිකුත් කරන්නෙකු දක්වා දාමයක් ගොඩනැගීමට නොහැකි බැවිනි.

සහතික අධිකාරිය රූපයට පිවිසෙන්නේ කොහිද

සැබෑ ලියාපදිංචිය ආරම්භ වන්නේ ඔබ පාලනය කරන යතුරු යුගලයක් සහ ක්‍රියාකරු අපේක්ෂා කරන විෂය දරන සහතික අත්සන් ඉල්ලීමකිනි. ක්‍රියාකරු අයිතිය තහවුරු කර, CA යතුරෙන් ඉල්ලීමට අත්සන් කර, නිකුත් කළ සහතිකය සේවාලාභියා ඉදිරිපත් කළ යුතු ඕනෑම අතරමැදි දාමයක් සමඟ ආපසු දෙයි. පසුව සේවාලාභියාට එය අත්සන් කළ CA සහතිකය අවශ්‍ය වේ, තමා කතා කරන සේවාදායකය එකම යෙදවීමට අයත් බව තහවුරු කිරීමට ඉඩ දෙන්නේ එයයි.

එම අවසාන ගොනුව අමතක කිරීම පහසුය, ප්‍රතිස්ථාපනය කිරීම අසීරුය. CA හි අත්සන් යතුර කිසිදා සේවාලාභී වින්‍යාසයට අයත් නොවේ, කිසිදු ස්ථානීය පරිවර්තනයක් ඔබට ලැබිය යුතුව තිබූ දාමය නිපදවන්නේ නැත.

SSH යතුර නැවත භාවිත කිරීමේ පිරිවැය

පරිවර්තනයක් සැබවින්ම පිළිගත හැකි දෙයක් නිපදවා ඇතැයි සිතන්න. SSH ප්‍රවේශය සහ VPN සත්‍යාපනය සඳහා එකම යතුරු යුගලය නැවත භාවිත කිරීම තවමත් ස්වාධීන ආරක්ෂක තීරණ දෙකක් සම්බන්ධ කරයි. authorized_keys සටහනක් ඉවත් කිරීම SSH පිවිසුම් නවත්වයි, එම පොදු යතුර සඳහා VPN CA දැනටමත් නිකුත් කළ සහතිකයට කිසිවක් නොකරයි. VPN පැත්ත තමන්ගේම යාන්ත්‍රණයෙන් අවලංගු වේ, එනම් සහතික අවලංගු කිරීමේ ලැයිස්තුව හෝ ක්‍රියාකරුගේ ලියාපදිංචි වාර්තාව.

එබැවින් පිරික්සුම් ලැයිස්තුව උපායකින් නොව නැවතීමේ කොන්දේසියකින් අවසන් වේ. openssl ගොනුව සහතිකයක් ලෙස විශ්ලේෂණය නොකරන්නේ නම්, පරිවර්තනය නවත්වා ඔබට ඇත්තේ කුමක්දැයි විස්තර කරන්න: SSH යතුර, SSH සහතිකය, X.509 සහතිකය, පෞද්ගලික යතුර හෝ බණ්ඩලය. පැතිකඩ සේවාලාභී සහතිකයක් ඉල්ලා නොසිටින්නේ නම්, නවතින්න සහ සේවාදායකය අපේක්ෂා කරන සත්‍යාපන ක්‍රමය කුමක්දැයි අසන්න. දෙපිළිතුරම X.509 වෙත යොමු වූ විට පමණක් ලියාපදිංචිය ඊළඟ පියවර බවට පත්වේ, පළමු වාක්‍යයේ නිවැරදි නාමය තිබේ නම් එම සංවාදය වඩා වේගයෙන් යයි.