Një profil OpenVPN ka tre blloqe certifikatash: cili është sekret?

Hapni një skedar .ovpn për të ndryshuar një rresht dhe gjeni tre blloqe base64 që të gjithë duken si kredenciale. Njëri është i sigurt për t'u publikuar, një tjetër është po aq i ndjeshëm sa një fjalëkalim, dhe një tjetër është një çelës publik që nuk do të thotë asgjë nëse diçka tjetër nuk është nënshkruar me çiftin e tij. Njerëzit e ngjitin të gjithë skedarin në një temë mbështetjeje sepse blloqet duken të këmbyeshme, dhe kështu një çelës klienti përfundon në një arkiv publik. Të dallosh se çfarë bën secili bllok shpjegon pjesën më të madhe të konfuzionit rreth këtyre profileve, dhe ju tregon gjithashtu cilat dështime duhet t'i rregulloni vetë.

Një skedar, tre blloqe, detyra të ndryshme

Një profil tipik fut një bllok ca, një bllok cert dhe një bllok key midis shenjave BEGIN dhe END, ose i referohet të njëjtave tre si skedarë të veçantë. Disa profile shtojnë një bllok të katërt për një çelës tls-auth ose tls-crypt, i cili është një sekret i përbashkët dhe jo një certifikatë. Klienti lexon çdo bllok sipas direktivës që e emërton, prandaj etiketat kanë më shumë rëndësi sesa rendi i paraqitjes.

Trajtojeni profilin e montuar si të ndjeshëm derisa të keni parë vërtet brenda. Një certifikatë publike dhe një çelës privat mund të jenë disa rreshta larg njëri-tjetrit në të njëjtin skedar, dhe një pamje ekrani që përfshin kokën mund t'i përmbajë të dyja. Mbulimi me dorë i base64-së së dukshme nuk është i besueshëm, sepse një bllok i pjesshëm ende zbulon metadatat e certifikatës që emërtojnë vendosjen tuaj. Kopjimi i tre direktivave pa vlerat e tyre zakonisht mjafton për një pyetje të dobishme.

Direktivat rreth blloqeve vendosin si përdoren ato. Ndryshoni ca dhe klienti beson një autoritet tjetër; ndryshoni cert pa ndryshuar key dhe dorëzimi dështon me një mospërputhje që nuk ka asnjë lidhje me besimin.

Blloku CA është publik, çelësi CA kurrë

Një autoritet certifikimi nënshkruan certifikata që lidhin një çelës publik me një identitet, dhe certifikata e tij është spiranca që një klient përdor për të vendosur nëse një zinxhir është i besueshëm. Ajo certifikatë është publike nga dizajni: dërgimi i saj brenda çdo profili është normal, dhe pikërisht për këtë një vendosje e vetë-nënshkruar mund të funksionojë pa një autoritet komercial.

Ajo që nuk duhet të shfaqet kurrë në një profil klienti është çelësi privat i nënshkrimit të autoritetit. Klienti nuk ka nevojë për të për të vërtetuar asgjë, dhe prania e tij do të thotë që kushdo që e mban profilin mund të krijojë identitete të reja për të gjithë vendosjen.

Besimi në një autoritet është gjithashtu më i ngushtë sesa tingëllon. Një klient që pranon çdo certifikatë të nënshkruar nga CA do të pranojë ende një certifikatë të lëshuar për një shërbim tjetër në të njëjtën CA. Opsionet që fiksojnë rolin ose emrin e pritur të serverit e mbyllin atë boshllëk, dhe Referenca e opsioneve TLS rendit direktivat e verifikimit që e bëjnë këtë.

Certifikatat e serverit dhe të klientit tregojnë në drejtime të kundërta

Certifikata e serverit është ajo që klienti inspekton për të konfirmuar se ka arritur pikën e duhur fundore. Certifikata juaj e klientit shkon në drejtimin tjetër: serveri e përdor atë për të vendosur që kjo pajisje ose përdorues është një që ai e regjistroi. I njëjti format, drejtim i kundërt besimi.

Një adresë nuk është identitet. Arritja në IP-në e duhur nuk provon asgjë për atë se kush u përgjigj, prandaj kontrolli i emrit të hostit ose emrit të certifikatës vazhdon t'i takojë profilit. As fjalëkalimi i llogarisë nuk zë në heshtje vendin e një certifikate klienti të kërkuar, sepse të dyja verifikohen në faza të ndryshme dhe një vendosje mund t'i kërkojë të dyja.

Çelësi privat i klientit është pjesa që duhet të mbetet private. Nëse mund të jetë ekspozuar, fshirja e skedarit nga laptopi juaj nuk ndryshon asgjë në server, i cili do të vazhdojë të pranojë certifikatën përkatëse derisa operatori ta revokojë. Kërkimi i operatorit për të zëvendësuar ose revokuar atë identitet është zgjidhja e vetme që udhëton me ju.

Dy kërkesa që duken identike dhe nuk janë

Një çelës i ruajtur në formë të kriptuar kërkon një frazëkalim përpara se klienti ta përdorë. Shërbimi VPN mund të kërkojë veçmas një fjalëkalim llogarie, dhe dy kërkesat mund të shfaqen me sekonda distancë me pothuajse të njëjtat fjalë. Frazakalimi mbron një skedar në diskun tuaj; fjalëkalimi dëshmon një llogari para serverit. Ngatërrimi i tyre i dërgon njerëzit drejt rivendosjeve që nuk mund të ndihmojnë në asnjë mënyrë.

Lexoni kërkesën përpara se të rivendosni diçka. Një rivendosje e fjalëkalimit të llogarisë nuk bën asgjë për një frazëkalim të harruar, një certifikatë të revokuar ose të skaduar, dhe rivendosja e fjalëkalimit kur dështimi është verifikimi i certifikatës e kthen një rregullim dy minutash në një rast mbështetjeje. Nëse ankesa përmend data vlefshmërie, kontrolloni së pari orën e pajisjes dhe më pas dritaren e vetë certifikatës së emërtuar.

Kur certifikata ka skaduar vërtet, zëvendësimi duhet të vijë nga ai që e lëshoi. Një çelës që i takon dikujt tjetër nuk është rrugë rinovimi, dhe as huazimi i një profili që funksionon nga një koleg.

Çfarë provon një dorëzim i pastër dhe çfarë jo

Arritja në një dorëzim TLS të përfunduar do të thotë që marrëdhënia e konfiguruar e identitetit qëndroi: certifikata e serverit u zinxhirua te CA-ja juaj dhe certifikata juaj u pranua. Nuk thotë asgjë për politikën e regjistrimit të operatorit, dhe as nëse aplikacionet tuaja do të funksionojnë pasi tuneli të jetë ngritur.

Rrugët dhe DNS janë faza të mëvonshme të lidhjes, prandaj një host intraneti i paarritshëm pas një hyrjeje të suksesshme është problem lidhshmërie dhe jo certifikate. Punoni në atë shtresë në vend që të ndërroni kredencialet, dhe mbani bashkë origjinën e profilit, materialin e tij privat dhe kontrollet e tij të identitetit kur ia jepni dikujt.