Profil OpenVPN ima tri bloke potrdil: kateri je tajen?

Odprete datoteko .ovpn, da spremenite eno vrstico, in najdete tri bloke base64, ki so videti kot poverilnice. Eden je varen za objavo, drugi je občutljiv kot geslo, tretji pa je javni ključ, ki ne pomeni ničesar, dokler nekaj drugega ni podpisano z njegovim parom. Ljudje prilepijo celotno datoteko v nit za podporo, ker so bloki videti zamenljivi, in tako odjemalski ključ konča v javnem arhivu. Razlikovanje, kaj počne kateri blok, pojasni večino zmede okoli teh profilov in pove tudi, katere okvare morate popraviti sami.

Ena datoteka, trije bloki, različna opravila

Tipičen profil vstavi blok ca, blok cert in blok key med oznake BEGIN in END ali napotuje na iste tri kot ločene datoteke. Nekateri profili dodajo četrti blok za ključ tls-auth ali tls-crypt, ki je skupna skrivnost in ne potrdilo. Odjemalec bere vsak blok po direktivi, ki ga imenuje, zato so oznake pomembnejše od vrstnega reda pojavljanja.

Obravnavajte sestavljeni profil kot občutljiv, dokler vanj res ne pogledate. Javno potrdilo in zasebni ključ sta lahko v isti datoteki le nekaj vrstic narazen, posnetek zaslona z glavo pa lahko vsebuje oba. Tudi ročno prekrivanje vidnega base64 ni zanesljivo, ker delni blok še vedno razkrije metapodatke potrdila, ki poimenujejo vašo namestitev. Kopiranje treh direktiv brez njihovih vrednosti običajno zadostuje za koristno vprašanje.

Direktive okoli blokov odločajo, kako se uporabljajo. Spremenite ca in odjemalec zaupa drugi ustanovi; spremenite cert brez spremembe key in rokovanje spodleti z neskladjem, ki nima nobene zveze z zaupanjem.

Blok CA je javen, ključ CA nikoli

Ustanova za izdajanje potrdil podpisuje potrdila, ki vežejo javni ključ na identiteto, njeno lastno potrdilo pa je sidro, na podlagi katerega se odjemalec odloča, ali je veriga vredna zaupanja. To potrdilo je javno po zasnovi: pošiljanje znotraj vsakega profila je običajno in prav zato lahko samopodpisana namestitev deluje brez komercialne ustanove.

Kar se nikoli ne sme pojaviti v odjemalskem profilu, je zasebni podpisni ključ ustanove. Odjemalec ga ne potrebuje za nobeno preverjanje, njegova prisotnost pa pomeni, da lahko vsak, ki ima profil, ustvari nove identitete za celotno namestitev.

Zaupanje ustanovi je tudi ožje, kot se sliši. Odjemalec, ki sprejme katero koli potrdilo, podpisano s CA, bo še vedno sprejel potrdilo, izdano za drugo storitev na isti CA. Možnosti, ki pritrdijo pričakovano vlogo ali ime strežnika, zaprejo to vrzel, in Referenca možnosti TLS našteje preveritvene direktive, ki to počnejo.

Strežniško in odjemalsko potrdilo kažeta v nasprotni smeri

Strežniško potrdilo je tisto, kar odjemalec pregleda, da potrdi, da je dosegel pravo končno točko. Vaše odjemalsko potrdilo deluje obratno: strežnik ga uporabi, da ugotovi, da je ta naprava ali uporabnik eden od tistih, ki jih je vpisal. Ista oblika, nasprotna smer zaupanja.

Naslov ni identiteta. Doseganje pravega IP ne dokaže ničesar o tem, kdo je odgovoril, zato preverjanje imena gostitelja ali imena potrdila še vedno sodi v profil. Tudi geslo računa ne nadomesti tiho zahtevanega odjemalskega potrdila, ker se oboje preverja v različnih fazah in namestitev lahko zahteva oboje.

Zasebni ključ odjemalca je del, ki mora ostati zaseben. Če je mogel biti razkrit, brisanje datoteke z vašega prenosnika na strežniku ne spremeni ničesar, saj bo še naprej sprejemal ustrezno potrdilo, dokler ga upravljavec ne prekliče. Prošnja upravljavcu, naj to identiteto zamenja ali prekliče, je edina rešitev, ki potuje z vami.

Dve zahtevi, ki sta videti enaki in nista

Ključ, shranjen v šifrirani obliki, zahteva geslo-frazo, preden ga odjemalec lahko uporabi. Storitev VPN lahko ločeno zahteva geslo računa, in obe zahtevi se lahko pojavita v razmaku nekaj sekund s skoraj enakim besedilom. Fraza ščiti datoteko na vašem disku; geslo dokazuje račun strežniku. Zamenjava obojega pošilja ljudi k ponastavitvam gesel, ki nikakor ne morejo pomagati.

Preberite zahtevo, preden karkoli ponastavite. Ponastavitev gesla računa ne naredi ničesar za pozabljeno ključno frazo, preklicano ali poteklo potrdilo, in ponastavitev gesla, ko je okvara preverjanje potrdila, spremeni dvominutni popravek v primer za podporo. Če se v pritožbi omenjajo datumi veljavnosti, najprej preverite uro naprave in nato lastno okno navedenega potrdila.

Ko je potrdilo res poteklo, mora zamenjava priti od tistega, ki ga je izdal. Ključ, ki pripada nekomu drugemu, ni pot do obnove, in tudi izposoja delujočega profila pri sodelavcu ne.

Kaj dokaže čisto rokovanje in kaj ne

Doseganje dokončanega rokovanja TLS pomeni, da je nastavljen odnos identitet zdržal: strežniško potrdilo se je pripelo na vaš CA in vaše potrdilo je bilo sprejeto. To ne pove ničesar o politiki beleženja upravljavca in ničesar o tem, ali bodo vaše aplikacije delovale, ko bo tunel dvignjen.

Poti in DNS so poznejše faze povezave, zato je nedosegljiv gostitelj intraneta po uspešni prijavi težava povezljivosti in ne potrdila. Delajte na tej plasti namesto na zamenjavi poverilnic in pri predaji profila nekomu držite skupaj njegov izvor, njegov zasebni material in njegove preveritve identitete.