OpenVPN iyada oo aan CA lahayn: sida peer-fingerprint u xaqiijiso saaxiibada
Fara-qaadku wuxuu dhejiyaa hal shahaado, ma aha sir la wadaago. Raac waxa uu soo-koobku koobo, sida dhinac kastaa u dhiso liiska ogolaanshaha iyo waxa ay cusboonaysiintu ku kacdo.
Iskaashi yar wuxuu u leexdaa fara-qaadka sababtoo ah maamulka shahaadada wuxuu u eg yahay kaabayaal aan cidna waqti u haysan. Dareenku waa macquul, laakiin wadada gaaban ee dadku beddelkeeda qaataan—koobi sir ka mid ah kanaalka xogta labada gees—ma aha. Habaynta peer-fingerprint waxay ilaalisaa qaabka TLS isagoo aan dhaqaaqin: dhinac kastaa wuxuu weli hayaa furaha gaarka ah iyo shahaadiisa, dhinac kastaa wuxuu weli xaqiijiyaa kan kale. Waxa is beddela waa halka xaqiijinta lagu dhejiyay: soo-saare lagu kalsoonaan karo ilaa liis gaaban oo soo-koobab la dhejiyay. Maaddaama soo-koobku koobo shahaadada oo dhan ee aan magac, cusboonaysiintu waxay noqotaa hawsha dhab ahaan waqti qaadata.
Waxa uu fara-qaadku dhab ahaan ballanqaado
Fara-qaadka shahaadada waa soo-koobka shahaadada oo dhan oo DER lagu codeeyay, ma aha furaha guud iyo ma aha magaca mawduuca. Sidaas darteed laba shahaado oo magacyo isku mid ah iyo isla fure leh laakiin taariikhaha ansaxnimada kala duwan leh waxay leeyihiin fara-qaad kala duwan. Taasi waxay dhejinta ka dhigtaa mid sax ah, waxayna sidoo kale cusboonaysiinta ka dhigtaa mid carqalad ah. Dhejintu ma macnayn karto in fure guud ahaan la aammino, sababtoo ah waxay magacawdaa hal shay hal waqti oo noloshiisa ah. Qof kastaa wuu ogaan karaa soo-koobka, ogaanshihiisuna iskiis waxba ma caddeeyo.
openssl x509 -in server.crt -noout -fingerprint -sha256
openssl x509 -in client-07.crt -noout -fingerprint -sha256Haynta furaha gaarka ah ee u dhigma ayaa caddeeya in saaxiibku hayo shahaadadaas, soo-koobkuna waa sida dhinaca kale u go'aamiyo inuu shahaadadaas weli filayay iyo in kale. Kala-soociddaas ayaa sabab u ah in nashqaddan aysan ahayn habkii hore ee sirka la wadaago: fure la wadaago wuxuu xaqiijiyaa qof kasta oo yaqaan isla baytyada, halka dhejintu ay xaqiijiso hal shahaado. Qalab kale wuxuu helaa gelitaankiisa halkii uu heli lahaa koobi sirkaas, taas oo farqi yar ku tahay faylalka iyo mid weyn xagga baaxadda waxyeellada.
Khariidadda waa laba-geesood, ma aha isku-ekaansho
Dhinac kasta oo dambe wuxuu u baahan yahay laba shay: furaha gaarka ah oo shahaadada la socda, iyo bayaan ku saabsan shahaadaha saaxiibka ah ee uu aqbali doono. Macmiilka baystaanku waa soo-koobka shahaadada serverka; serverka waa liiska soo-koobabka macmiilada la diiwaan geliyay. Tusaale rasmi ah oo habayn yar loogu talagalay Community 2.6 ayaa muujinaya habaynta peer-fingerprint, waana mudan in la akhriyo ka hor inta aadan dooran qaabkan kalsoonida ee iskaashi dhab ah. Labada jiho ma aha liis geddiisan, mana wada guuldarraystaan isla waqti keliya.
| Verification direction | What is pinned | What never leaves that endpoint | How a wrong pin shows up |
|---|---|---|---|
| Client checks the server | One digest, for the server certificate | The server private key | The client aborts during the TLS handshake |
| Server checks the client | A digest per enrolled client | Each client private key | The server rejects the peer before a tunnel exists |
Ku darista qalab waxay wax ka beddelaysaa liiska ogolaanshaha serverka, iyada oo aan koobi lahayn waxyaabaha gaarka ah ee macmiil jira oo aan furaha serverka meel kale la rarin. Labada jiho sidoo kale way gooni u guuldarraystaan, taas oo faa'iido u leh ogaanshaha: dhinanka xira gacan-qabsiga ayaa ah dhinanka aan filashadiisu buuxsamay. Haddii macmiilku diido serverka, soo-koobku ma waafaqsana shahaadada la soo bandhigay. Haddii serverku diido macmiilka, soo-koobka macmiilkaas liiska kuma jiro, ama macmiilku wuxuu soo bandhigaa shahaado kale oo aan ahayn tan la diiwaan geliyay.
Diiwaangelin: sida qalab cusub u soo biiro
Abuur furaha iyo shahaadada qalabka cusub halka furaha gaarku noqon doono, ka dib u rar kaliya shayga guud dhinanka u baahan inuu dhejiyo. U gudbi soo-koobka la filayo kanaal aad hore u aammin qabtay, iyo isbarbar dhig shahaadada oo dhan halkii aad ka eegi lahayd magac u eg mid la yaqaan. Soo-koob laga koobiyeeyay isla soo dejinta aan la xaqiijin ee shahaadada ayaa caddeeya kaliya in labada fayl ay is waafaqaan. Kani waa baaritaan is-waafajin, ma aha baaritaan aqoonsi, waana wadada ugu aamusan ee nashqaddan u daciifto.
Serverka dhinaciisa, ku darista soo-koobku waa isbeddel habayn oo mara maareeyaha caadiga ah oo ay raacdo dib-u-xidhiidh. Xaqiiji in qalabka cusub xidhiidho iyo in qalabka soo-koobkiisa la tirtiray aanu mar dambe xidhiidhin. Imtixaan kaliya kiiska togan daboolaya ayaa liiska ogolaanshaha ka tagaya mid aan la xaqiijin, taasna waa sax ahaan xaaladda aad ku sugnaan doonto lix bilood gudahood.
Cusboonaysiintu waa waqtiga qaaliga ah
Shahaado kastaa wuu dhacaa, shahaado cusubna waxay leedahay soo-koob cusub xitaa marka furaha iyo magacyadu isku mid yihiin. Soo-saare hoostiisa, cusboonaysiintu waa mid cad saaxiibada aammin qaba soo-saarehaas; dhejin hoostiisa, waa dhacdo diiwaangelin oo u dhacda saaxiib kasta oo dhejiya shahaadada.
Qorsheeyso nidaamka ka hor taariikhda dhicista, ma aha ka dib. U qaybi soo-koobka cusub dhinamaha xaqiijiya, ku dhaqan geli isbeddelka, ka dibna kaliya ku beddel shahaadada dhinaca dambe. Nidaamkaas ma reebayo daaqad ay labada dhinac ku raacsanayn shahaadada hadda socota. Liiska laftiisana ku hay dib-u-eegis, sababtoo ah liis la dhejiyay wuxuu urursadaa gelitaanno qalab laga saaray bilo ka hor. Gelitaan kasta oo duugoobay waa aqoonsi weli xaqiijinaya haddii furahiisu sii noolaado, sidaas darteed mid ka saarista waa tallaabo amni, ma aha nadiifin.
Waxa uu khariidadda kalsoonidu go'aamin
Xaqiijintu waa hal lakab, khariidadda la dhejiyayna waxba ma ka sheegto barkada cinwaannada, dariiqyada la riixay, MTU-da wadada ama siyaasadda dab-demiska. Kuwaasi waxay sii ahaanayaan habayn gooni ah oo leh qaabab guuldarro oo gooni ah. Tunnel xaqiijiya oo aan mariin wax gaadiid waa baaritaan ka duwan mid aan waligiis kicin.
Khariidadda sidoo kale si xadla'aan ah uma ballaadho, iyo iskaashiyo waaweyn waxay ku dhammaadaan PKI ku salaysan soo-saare. Doorbidkaas waa mid ku saabsan hawlgalka ma aha kriptografi, sababtoo ah ku darista iyo ka saarista aqoonsiyada iyada oo loo marayo hal hay'ad ayaa ka jaban liis ka beddelka saaxiib kasta marka kooxdu korto. Meesha uu hirgelinta macmiilku taageerin doorashadaas, jawaabtu waa qaab kalsooni oo is-waafaqa oo macmiilkaas diiwaangeliyo, ama beddel la taageeray. Cabbudinta digniinta xaqiijinta ma darayso taageeradaas, qiimaha nashqadduna waa in xaqiijintu weli dhacdo.