VPN සහතික අධිකාරියක් ප්‍රතිස්ථාපනය කරන විට සිදුවන්නේ කුමක්ද

VPN සහතික අධිකාරියක් ප්‍රතිස්ථාපනය කිරීම ගොනුවක් මාරු කිරීමක් නොවේ. නව CA එහි පළමු සහතිකයට අත්සන් කරන මොහොතේ, තවමත් පැරණි එකට පමණක් විශ්වාස කරන සෑම වලංගුකාරකයක්ම තීරණයක් ගත යුතුය, නව නැංගුරම කිසිදා නොලබන සත්කාරක හොඳ සගයන් ප්‍රතික්ෂේප කරමින් සිටී. දිශා දෙකෙහිම මෙය කැඩී යන ආකාරය මම දැක ඇත: ගේට්වේ නව CA ඉගෙන ගත්තත් ක්ලයන්ට් එසේ නොකළ නිසා නව සම්බන්ධතා අසාර්ථක වූ අතර, දැනටමත් ඉහළ උමං ඉහළම ලෙස පැවතුණු අතර බාධාව මාර්ගගත කිරීමේ ගැටලුවක් ලෙස පෙනිණි. කුමක් වෙනස් වේද යන්න දෝෂ පෙනෙන අනුපිළිවෙලින් මෙසේය.

එක් ප්‍රතිස්ථාපනයක්, වෙනස් වෙනස්කම් දෙකක්

සහතික අධිකාරියක් යනු නමක්, පොදු යතුරක් සහ අත්සන් කරන පෞද්ගලික යතුරකි. වලංගුකාරකයන් කිසිදා වියුක්ත ලෙස ‘CA’ විශ්වාස නොකරයි. ඔවුන් විශ්වාස ගබඩාවේ දැනටමත් ඇති එක් නිශ්චිත සහතිකයක් විශ්වාස කරන අතර, අත්සන් දාමයක් එම ගබඩා කළ පිටපතට ළඟා වූ විට පමණක් නිකුත් කරන්නා පිළිගනී. එබැවින් CA ප්‍රතිස්ථාපනය ස්වාධීනව අසාර්ථක වන දෙයක් වෙනස් කරයි: කුමන නැංගුරම් පිළිගැනේද සහ ඒවා යටතේ කුමන සගයාගේ අනන්‍යතා නිකුත් කරන ලද්දේද.

බොහෝ VPN යෙදවුම් දිශා දෙකෙහිම වලංගු කරයි. ක්ලයන්ට් ගේට්වේ සහතිකය සත්‍යාපනය කරන අතර ගේට්වේ ක්ලයන්ට්ගේ සහතිකය සත්‍යාපනය කරයි. ක්ලයන්ට් කරල මාත්‍රය අලුත් කරන මාරුව පැරණි CA අනන්‍යතාව තවමත් ඉදිරිපත් කරන සෑම ක්ලයන්ට්කුම ප්‍රතික්ෂේප කිරීමට සර්වරයට ඉඩ දෙයි, ප්‍රතිවිරුද්දත් එසේම සුලභය. පළමුව බලාත්මක කිරීමේ ලක්ෂ්‍ය ලැයිස්තුගත කරන්න: ක්ලයන්ට් විශ්වාස ගබඩා, ගේට්වේහි ca ගොනුව, එය ඉදිරිපිට TLS අවසන් කරන ඕනෑම ප්‍රතිරූපකයක් සහ පිටතින් අන්ත ලක්ෂ්‍යය පරීක්ෂා කරන විමර්ශකය.

වලංගුකාරකයා පරීක්ෂා කරන්නේ කුමක්ද, අනුපිළිවෙලින්

මාර්ග වලංගුකරණය සගයාගේ සහතිකයේ සිට මධ්‍යස්ථ හරහා විශ්වාසදායක නැංගුරමක් දක්වා නැඟෙයි. සෑම පියවරකදීම එය අත්සන සත්‍යාපනය කරයි, සෑම සහතිකයක්ම එහි වලංගුතා කවුළුව තුළ ඇත්දැයි පරීක්ෂා කරයි, මූලික සීමා සහ යතුරු භාවිතය නිකුත් කරන්නාට අත්සන් කිරීමට ඉඩ දෙන බව තහවුරු කරයි. ඉන් පසුව පමණක් යෙදුම පත්‍ර සහතිකය දෙස බලයි: විෂයයේ විකල්ප නාම ඩයල් කළ නම ආවරණය කළ යුතුය, දීර්ඝ කළ යතුරු භාවිතය සර්වරයේ හෝ ක්ලයන්ට්ගේ සත්‍යාපනයට ඉඩ දිය යුතුය.

එම ගමන නොබැඳිව නැවත කිරීමට, -CAfile ඔබ යෙදවීමට යන නිශ්චිත කරලට යොමු කරන්න, පද්ධති ගබඩාවට නොව. එසේ නොමැති නම් ඔබ වෙනස නොව සත්කාරකය පරීක්ෂා කරයි:

openssl verify -CAfile new-ca.crt gateway.crt
openssl verify -CAfile new-ca.crt -untrusted intermediate.crt client.crt
openssl x509 -in gateway.crt -noout -subject -issuer -dates
openssl s_client -connect gw.example.net:443 -CAfile new-ca.crt

එම විධානය ක්‍රියා කරන්නේ ගේට්වේහි HTTPS පරිපාලන පිටුව වැනි සරල TLS ශ්‍රාවකයකට එරෙහිව පමණි; OpenVPNහි පාලන නාලිකාව TLSට පෙර එන නිසා s_clientට උමගේ අත්ලගුව පරීක්ෂා කළ නොහැක.

එම දෝෂ පිටුපස ඇති මාර්ග ගොඩනැගීමේ නීති RFC 5280 6 වගන්තිය තුළ ඇත. ඒවා වෙනත් ආකාරයකින් අත්තනෝමතික ලෙස පෙනෙන අසාර්ථකතා පැහැදිලි කරයි: කිසිවෙකුට මතක නොතිබූ කල් ඉකුත් වූ මධ්‍යස්ථ සහතිකයක්, එහි යතුරු භාවිතය අත්සන් කිරීම තහනම් කරන සහතිකයක්, හෝ ඔබ පරීක්ෂා කරන සත්කාරකය බැහැර කරන නාම සීමාවක්.

පැරණි උමග ඇයි ක්‍රියා කරමින් සිටින්නේ

TLS සහ OpenVPN දෙකම අත්ලගුව අවසන් වූ පසු ස්ථාපිත සැසියක් ජීවතුන් අතර තබා ගනී. කිසිවක් සෑම පැකට්ටුවකටම සගයාගේ සහතිකය නැවත වලංගු නොකරයි, එබැවින් වෙනසට පෙර සම්බන්ධ වූ ක්ලයන්ට් නැවත සාකච්ඡා, නැවත සම්බන්ධ වීම හෝ උමග වැටෙන තෙක් රථවාහන යවමින් සිටී. මෙම පරතරය නිසාම CA ප්‍රතිස්ථාපනය පැයක් හොඳින් පෙනී පසුව නරකම මොහොතේ අසාර්ථක වේ: ලැප්ටොප් නිදාගෙන අවදි වේ, NAT සිතියම්ගත කිරීම කල් ඉකුත් වේ, ගේට්වේ නැවත ආරම්භ වේ.

සැසි නැවත ආරම්භය මෙම මායාව තවත් දිගු කරයි. TLS සැසි ටිකට්පතක් ක්ලයන්ට්ට සහතික නැවත නොයවා ආපසු ඒමට ඉඩ දෙයි, නැවත ආරම්භය මාර්ග වලංගුකරණය මඟ හරියි මන්ද පළමු අත්ලගුව එය දැනටමත් කළ බැවිනි. එබැවින් අවංක පරීක්ෂණය නව ක්‍රියාවලියක සම්පූර්ණ අත්ලගුවකි. උමග නැවත සම්බන්ධ කිරීම වෙනුවට ක්ලයන්ට් නැවත ආරම්භ කරන්න, පරීක්ෂණ පැතිකඩක ටිකට්පත් අබල කිරීම සලකා බලන්න, එවිට නැවත ආරම්භක මාර්ගයට කැඩුණු දාමයක් සැඟවිය නොහැක.

ස්ථිතික යතුරු ස්ථරය මෙයින් වෙන් කර තබන්න. tls-auth පාලන නාලිකාවට HMAC එකක් එකතු කරයි, tls-crypt එය සංකේතනය කර සත්‍යාපනය කරයි, දෙකම සහතික ද්‍රව්‍ය රැගෙන නොයයි, එබැවින් ඕනෑම එකක් භ්‍රමණය කිරීම තමන්ගේම අසාර්ථකත්ව ආකාරය සහිත වෙනස් වෙනසකි. දෙකම මිශ්‍ර කරන යෙදවුම් අවසන් වන්නේ ස්ථිතික යතුර හොඳින් ඇති, සහතිකය කල් ඉකුත් වූ, දෝෂ පණිවිඩය දෙකම සඳහන් නොකරන ක්ලයන්ට් සමඟය.

විෂය නාමය නැවත භාවිත කිරීමේ උගුල

පහළ කිසිවක් වෙනස් නොවිය යුතු යැයි සිතා පූර්වගාමියාගේ වෙනස් කළ නාමය නැවත භාවිත කිරීම පෙළඹවීමකි. එය අතුරුමුහුණතේ නිකුත් කරන්නාගේ පේළිය ස්ථාවරව තබා ඔබට අවශ්‍ය එකම සංඥාව විනාශ කරයි. සමාන විෂයයන් සහ වෙනස් යතුරු ඇති සහතික දෙකක් නාමයෙන් වෙන් කළ නොහැක, එබැවින් නැංගුරම් දෙකම ඇති කරල වලංගුකාරකයාට අපේක්ෂකයන් දෙදෙනෙකු ලබා දෙන අතර තේරීමට නීතියක් නැත.

එවිට මාර්ග ගොඩනැගීම වැරදි එක තෝරා ගත හැක, නිවැරදි නැංගුරම ඇතිවා සේම ‘දේශීය නිකුත් කරන්නාගේ සහතිකය ලබා ගත නොහැක’ ලෙස වාර්තා කළ හැක, නැතහොත් අපේක්ෂක අනුපිළිවෙල වෙනස් වූ නිසා එකම කරල සහිත තවත් සත්කාරකයක සාර්ථක වී මෙහි අසාර්ථක විය හැක. නාමය නැවත භාවිත කළ යුතු නම්, සංක්‍රාන්ති කාලයේදී නැංගුරම් දෙකම වෙනස් ගොනුවල තබා පැහැදිලිව පූරණය කරන්න, සහ සෑම සගයෙක්ම නව නිකුත් කරන්නා ඉදිරිපත් කළ පසුව පමණක් ඒවා ඒකාබද්ධ කරන්න. එසේ නොමැති නම් ආදේශකයට වෙනස් පොදු නාමයක් දෙන්න — පරම්පරාවක් හෝ දිනයක උපසර්ගය ප්‍රමාණවත්ය — එවිට ලොග් සහ දෝෂ පෙළ අසාර්ථක සගයා කුමන අධිකාරිය යටතේ නිකුත් කරන ලද්දේද යන්න පවසයි.

ජාලය නොවැටෙන භ්‍රමණයක්

සැලසුම්ගත ප්‍රතිස්ථාපනයක් සඳහා එක් පියවරකින් මාරු නොවී සීමිත කාලයක් සඳහා නැංගුරම් දෙකම පිළිගන්න. නව CA සහ එහි මධ්‍යස්ථයන් නිකුත් කරන්න, නව නැංගුරම පැරණි එකට යාබදව සෑම වලංගුකාරකයකගේ කරල තුළ තබන්න, ඉන් පසුව පමණක් එයින් සගයාගේ සහතික නිකුත් කිරීම අරඹන්න. පැරණි අනන්‍යතා සහිත සගයන් පැරණි නැංගුරමට එරෙහිව වලංගු වේ; නව අය නව එකට එරෙහිව ක්‍රියා කරයි.

එම අනුපිළිවෙලින් කළහොත් සෑම පියවරක්ම ආපසු හැරවිය හැක. ඔබ වළක්වන අසාර්ථකත්වය එකවර මාරුවයි: කරල යාවත්කාලීනය මඟ හැරුණු ක්ලයන්ට් පැරණි නැංගුරම දැනටමත් විශ්‍රාම ගැන්වූ ගේට්වේකට මුණගැසේ, අත්ලගුව මිය යයි, කිසිදු ලොගයක් කුමන පැත්ත පැරණිද යන්න නොකියයි.

ප්‍රතිවිරුද්ධ දිශාවට විශ්‍රාම ගන්වන්න. රැඳී සිටිය යුතු සෑම අනන්‍යතාවක්ම නැවත නිකුත් කරන්න, සෑම එකක්ම නව දාමය ඉදිරිපත් කරන බව තහවුරු කරන්න, පසුව කරලවලින් පැරණි නැංගුරම ඉවත් කරන්න. පැරණි CAහි පෞද්ගලික යතුර සේවයෙන් ඉවත් කරන්න, මන්ද තවමත් අත්සන් කළ හැකි නිකුත් කරන්නෙක් යනු භ්‍රමණය නිම නොවූ බවයි. විගණනය සඳහා සහතික සහ නිකුත් කිරීමේ වාර්තා තබා ගන්න. නැති වූ නිකුත් කරන්නෙක් එම විශ්වාසයටම ප්‍රතිස්ථාපනය වේ; හෙළිදරව්වකට නව අනන්‍යතා අවශ්‍ය වන අතර පැරණි නැංගුරමට ආපසු යාමක් නැත.

ප්‍රතිඵලය සත්‍යාපනය කරන්න, ගොනු ලැයිස්තුව නොව

අපේක්ෂිත නාමාවලියේ විශ්වාස ගොනුවක් එතරම් ඔප්පු නොකරයි. යෙදුම වෙනත් මාර්ගයක්, වෙනත් ආකෘතියක් හෝ උත්ශ්‍රේණි කිරීමක් විසින් ප්‍රතිස්ථාපනය කරන කරල තුළ පිටපතක් කියවිය හැක. ගොනුවක් තිබේද යන්න නොව දෙකෙළවරේ හැසිරීම පරීක්ෂා කරන්න.

නව අනන්‍යතාවක් සහිත නව සම්බන්ධතාවක් සාර්ථක වන බව තහවුරු කරන්න, පසුව විශ්‍රාම ගිය CA විසින් නිකුත් කළ අනන්‍යතාවක් ප්‍රතික්ෂේප වන බව තහවුරු කරන්න. මිනිසුන් මඟ හරින දෙවන පරීක්ෂණය එයයි, පැරණි අධිකාරිය තවදුරටත් ප්‍රවේශය නොදෙන බව පෙන්වන එකම පරීක්ෂණයද එයයි. යෙදවුම CRL හෝ OCSP මත රඳා පවතින විට, නව සහතිකවල බෙදාහැරීම් ලක්ෂ්‍ය විසඳෙන බවත් අසන සගයන් ප්‍රතිචාරකයා වෙත ළඟා වන බවත් පරීක්ෂා කරන්න.

කිසිදා සම්බන්ධ නොවූ ක්ලයන්ට් සමඟ අවසන් කරන්න: එහි පැතිකඩ තත්ත්වය මකන්න, සම්බන්ධ කරන්න, සාකච්ඡා කළ දාමය කියවන්න. කැෂ් කළ සැසියක් නැවත අරඹන සගයෙක් කිසිවක් වලංගු නොකළත් සංක්‍රමණය සාර්ථක වූ බව සතුටින් වාර්තා කරයි.