Zakaj kopiranje ca.key na vsakega odjemalca VPN uniči CA
Odjemalec preveri javno potrdilo CA; nikoli ne potrebuje ključa, ki podpisuje. Kopiranje ca.key na vsako napravo preda pravico do izdajanja vsakomur, ki vzame eno kopijo.
Nekje v navodilih za namestitev se celotna mapa kopira v celoti na vsak prenosnik, ker je bilo to lažje kot odločiti, katere datoteke spadajo tja. Ta mapa vsebuje ca.key in v trenutku, ko doseže drugo napravo, potrditveni organ preneha biti organ. Vsak imetnik lahko zdaj izdaja identitete, ki jim bo zaupalo preostalo omrežje.
To zmedo je vredno enkrat razvozlati, ker sta si datoteki videti podobni, a delata nasprotne stvari.
Gradivo za preverjanje in gradivo za podpisovanje
Odjemalec potrebuje javno potrdilo CA, da preveri, da je potrdilo, ki ga predloži druga stran, podpisal ta organ. To je naloga preverjanja in ne potrebuje nobene skrivnosti. Podpisovanje potrdila druge strani je druga naloga, ki jo enkrat izvede tisti, ki upravlja CA, z zasebnim ključem, ki nikoli ne zapusti svoje zaščitene shrambe. Ločevanje teh dveh nalog je ves smisel dobave dveh datotek.
Zato ca.crt spada v profil in ca.key ne spada nikamor blizu njega. Imena datotek so dogovor, ne jamstvo, zato je treba vrsto pregledati, ne pa sklepati iz imena.
Arhitektura z vmesnim CA ali spletno storitvijo izdajanja ni izjema. To je običajen način, da se zmožnost podpisovanja drži stran od končnih točk, medtem ko se potrdila naprav izdajajo v velikem obsegu.
Kaj mora odjemalec dokazati z lastnim ključem
Vsaka naprava dobi svoj par ključev in svoje potrdilo, ki ga CA podpiše enkrat. Odjemalec predloži to potrdilo in dokaže, da ima ustrezni zasebni ključ, strežnik pa odloči, ali ga bo sprejel. To je identiteta, ki se prekliče, ko se prenosnik izgubi.
Razlika je najpomembnejša po tatvini. Pri identitetah za vsako napravo se en razkriti odjemalec odstrani s preklicem ali z odstranitvijo druge strani, preostanek flote pa še naprej deluje.
S prismujenim ključem organa ni mogoče ravnati tako. Vsako potrdilo, ki ga je kdaj podpisal ali bi ga lahko podpisal, postane sumljivo, zato je odziv zamenjava zaupanja in ne en sam preklic. To je projekt, ne zahtevek.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Preberite datoteko, preden jo kam kopirate
Dva ukaza vam povesta, kakšen predmet držite, ne da bi natisnila kakšno skrivnost. Prvi navede subjekt in oznako CA na potrdilu; drugi preveri ključ in sporoči njegovo vrsto. Zaženite oba na datotekah v svežnju, ki ga boste razdelili. Vse, kar se potrdi kot zasebni ključ, ne spada v mapo odjemalca.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Če drugi ukaz uspe na datoteki, ki je v svežnju odjemalca, se ustavite in sveženj obravnavajte kot ogrožen. Izpis, ki pravi, da je ključ veljaven, pravi tudi, da je prisoten, in prisotnost je celoten problem.
Bodite pozorni tudi na nasprotno smer: profil odjemalca zakonito vsebuje zasebni ključ tega odjemalca. Brisanje vsakega najdenega ključa prekine povezavo, ne da bi kar koli izboljšalo, zato je treba predmet prepoznati, preden ga odstranite.
Zajezitev ključa, ki ste ga že razdelili
Ne predpostavljajte, da brisanje lokalne kopije razveljavi izpostavljenost. Kdor koli je imel datoteko, jo je lahko kopiral, in varna predpostavka je, da jo je. Sledite incidentnemu postopku upravljavca in zamenjajte sidro zaupanja, pri čemer potrdila naprav znova izdate pod novim CA.
Nato spremenite pakiranje, ki je ustvarilo težavo. Pošiljajte seznam mape z izrecnim seznamom dovoljenih datotek, hranite ključ CA na stroju, ki se nikoli ne pridruži floti odjemalcev, in zabeležite, kateri sistem ga hrani.
Če mora organ pogosto izdajati, premaknite podpisovanje za storitev ali vmesni organ z ozkim obsegom in kratko veljavnostjo. Tako bo prihodnja napaka razkrila del izdajanja, ne pa korena zaupanja celotne namestitve.