Ka hor inta aad beddelin: furaha SSH iyo shahaadada OpenVPN

Soo dejintu waxay ku guuldareysataa khalad shahaado, marka tallaabada cad waxay u ekaanaysaa beddelaad. Dareenkaas wuxuu dadka u horseedaa waddo ay fidinta faylku isbeddelo, diidmaduna si isku mid ah u sii socoto. Sadarka ssh-ed25519 ee ku jira authorized_keys iyo shahaadada macmiilka OpenVPN waa walxo aqoonsi oo kala duwan, oo leh soo-saareyaal kala duwan, codeyn kala duwan iyo waddooyin la-noqosho oo kala duwan. Haddii aad hubintan si isku xigta u marto, waxaad hal daqiiqad gudahood ogaaneysaa in beddelaaddu wax tar u leedahay iyo in kale.

Waa kee walxaha dhab ahaan kuu haya?

Waxaa jira shan shay oo dadku fure ugu yeeraan, midkoodna keliya ayaa ah waxa borofaylka TLS rabo. Furaha guud ee SSH waa hal sadar qoraal ah oo leh horgale nooc iyo xambaar base64. Shahaadada OpenSSH waa furahaas oo lagu daray saxeex, principals iyo xulashooyin, oo uu soo saaro ssh-keygen isagoo u shaqeynaya sidii CA yar oo u gaar ah. Shahaadada X.509 waa qaab dhismeed gabi ahaan ka duwan, oo qaada mawduuc, daaqad ansax, fidinno iyo saxeex ka yimid hay'adda shahaadooyinka. Furaha gaarka ah waa qeybta sirta ah, bindle la soo saarayna badanaa waa shahaado iyo silsiladeeda iyo furaha gaarka ah oo ku jira hal fayl.

Imtixaanka ugu horreeya wuxuu qaataa hal amar. U jeedi openssl faylka oo ka codso inuu falanqeeyo qaab dhismeedka shahaadada:

openssl x509 -in client.crt -noout -subject -issuer

Haddii taas ku guuldareysto khalad lama soo dejisan karo ama PEM, faylku ma aha shahaado X.509 magac kasta oo aad u bixiso. Magac beddelku dib uma qoro ASN.1 gudaha, sidoo kale ma sameeyo duubista sadarka furaha guud ee qoraalka madaxa PEM.

Borofaylku shahaado ma dalbayaa?

Shahaadooyinka macmiilka waa hal hab oo xaqiijin ah oo ka mid ah dhowr, borofayllo badan oo TLS shaqeeyaana waligood ma dalbaan mid. Serverku wuxuu isticmaalayaasha ku xaqiijin karaa plugin, magac isticmaale iyo furaha sirta, ama backend token, isagoo weli ka doonaya macmiilka inuu xaqiijiyo aqoonsiga serverka. Haddii borofaylku uusan lahayn tilmaam shahaadada macmiilka, waligood shahaado lama dalban doono, beddelaadna kama dhigi karto iridda mid dalbata.

Habaynta furaha taagan ee duqowda ah waa kiis saddexaad. Waxay ka horreeyaan gacan-qaadka TLS oo waxay filayaan fayl sir hore loo wadaago, taas ayaa sabab u ah in furaha guud oo la dhajiyo goobtaas uu isna shaqeyn kari waayo. Akhri waxa borofaylku dhab ahaan dalbayo ka hor inta aadan go'aansan in aqoonsigu qaldan yahay.

Waxa codeyn-dib-u-dhacuhu qaban karo iyo waxa aanu qaban karin

Furaha gaarka ah waxay dhab ahaan leeyihiin weelal kale oo sharci ah. Isla furaha RSA ama EC waxaa loo qori karaa PEM caadi ah, PKCS#8, ama gudaha bindle PKCS#12, qalabkuna si farxad leh ayuu u dhex beddelaa. Furaha guud waxay leeyihiin sheeko la mid ah: ssh-keygen wuxuu soo saari karaa qaabka RFC 4716 ee furaha SSH, OpenSSH-na wuu fahmaa qaabka shahaadadiisa. Waxaas oo dhan waa matalaad, matalaadna ma aha kalsooni.

Waxa beddelaaddu qaban karin waa abuurista saxeex ka yimid hay'ad shahaadooyin oo aan waligeed arag furahaaga. Shahaadadu waa sheegasho soo-saare uu ku sheegayo in furaha guud gaar ah uu leeyahay mawduuc gaar ah ujeeddo gaar ah. Codeyn-dib-u-dhacu wuxuu ilaaliyaa baytyada furaha oo wuxuu ka taga sheegashada maqan, marka iriddu ma haysato wax ay kala hubiso keydka kalsoonideeda.

Kani waa tallaabada ay isku dayo badan si aamusnaan ah ugu guuldareystaan: faylku hadda wuxuu ku dhammaanayaa .crt, macmiilku wuu akhriyaa isagoon caban, gacan-qaadkuna weli wuu go'aa sababtoo ah dhinaca kale ma dhisi karo silsilad ilaa soo-saare la aamini karo.

Xaggee ayay hay'adda shahaadooyinku soo gashaa sawirka

Diiwaangelin dhab ah waxay ka bilaabataa lammaane fure oo aad maamusho iyo codsi saxeex shahaado oo qaada mawduuca uu hawlwadeenku filayo. Hawlwadeenku wuxuu xaqiijiyaa xaqa, wuxuu ku saxeexaa codsiga furaha CA, wuxuuna soo celiyaa shahaadada la soo saaray oo ay weheliso silsilad dhexe oo kasta oo macmiilku soo bandhigo. Kadib macmiilku wuxuu u baahan yahay shahaadada CA ee saxeexday, sababtoo ah waa tan u ogolaata inuu xaqiijiyo in serverka uu la hadlayo uu ka tirsan yahay isla daabacaadda.

Faylkaas ugu dambeeya waa sahlan tahay in la illoobo oo aan macquul ahayn in la beddelo. Furaha saxeexa CA laftiisu waligiis kama tirsana habaynta macmiilka, beddelaad maxalli ahna ma soo saarto silsiladda ay ahayd inaad hesho.

Waxa kuu galaya isticmaalka dib-u-isticmaalka furaha SSH

Ka soo qaad in beddelaad dhab ahaan soo saartay wax la aqbali karo. Isticmaalka hal lammaane fure oo loogu talagalay gelitaanka SSH iyo xaqiijinta VPN weli waxay isku xiraa laba go'aan amni oo madax banaan. Tirtirka gelinta authorized_keys waxay joojisaa gelitaanka SSH, waxna kama qabato shahaado ay CA-da VPN horey u soo saartay isla furaha guud. Dhinaca VPN waxaa lagu laalayaa habkiisa u gaar ah, taas oo macnaheedu yahay liiska laalidda shahaadooyinka ama diiwaanka diiwaangelinta hawlwadeenka.

Sidaas darteed liiska hubintu wuxuu ku dhammaanayaa shuruud joojin halkii uu ku dhammaan lahaa khiyaano. Haddii openssl uusan faylka u falanqeyn shahaado, jooji beddelaadda oo sharax waxa aad haysato: furaha SSH, shahaadada SSH, shahaadada X.509, furaha gaarka ah ama bindle. Haddii borofaylku uusan dalban shahaadada macmiilka, istaag oo weydii habka xaqiijinta ee serverku filayo. Kaliya marka labada jawaabood ay tilmaamaan X.509 ayay diiwaangelintu noqoneysaa tallaabada xigta, wada hadalkaasna aad buu uga dhaqso badan yahay marka jumladka koowaad magaca saxda ah ku jiro.