Pse kopjimi i ca.key te çdo klient VPN prish CA-në

Diku në udhëzimet e konfigurimit, një direktori kopjohet e plotë në çdo laptop sepse ishte më e lehtë sesa të vendosej se cilat skedarë i përkasin asaj. Ajo direktori përmban ca.key, dhe në momentin që arrin në një pajisje të dytë, autoriteti i certifikimit nuk është më autoritet. Çdo mbajtës tani mund të lëshojë identitete të cilave do t'u besojë pjesa tjetër e rrjetit.

Vlen ta zbërthesh një herë këtë konfuzion, sepse dy skedarët duken të ngjashëm dhe bëjnë gjëra të kundërta.

Material verifikimi dhe material nënshkrimi

Klienti ka nevojë për certifikatën publike të CA për të kontrolluar që certifikata e paraqitur nga pala tjetër është nënshkruar nga ai autoritet. Kjo është detyrë verifikimi dhe nuk kërkon asnjë sekret. Nënshkrimi i certifikatës së palës tjetër është detyrë tjetër, e kryer një herë nga ai që drejton CA, me çelësin privat që nuk del kurrë nga magazina e tij e mbrojtur. Ndarja e këtyre dy detyrave është i gjithë qëllimi i dërgimit të dy skedarëve.

Prandaj ca.crt i përket profilit dhe ca.key nuk i përket askund pranë tij. Emrat e skedarëve janë konventë, jo garanci, prandaj lloji duhet inspektuar dhe jo nxënë nga emri.

Një arkitekturë me CA të ndërmjetme ose një shërbim lëshimi në linjë nuk bën përjashtim. Është mënyra e zakonshme për ta mbajtur aftësinë e nënshkrimit larg pikave fundore duke lëshuar certifikata pajisjesh në shkallë të gjerë.

Çfarë duhet të provojë klienti me çelësin e vet

Çdo pajisje merr çiftin e vet të çelësave dhe certifikatën e vet, të nënshkruar një herë nga CA. Klienti paraqet atë certifikatë dhe provon se zotëron çelësin privat përkatës, dhe serveri vendos nëse ta pranojë. Ky është identiteti që revokohet kur humbet një laptop.

Kontrasti ka më shumë rëndësi pas një vjedhjeje. Me identitete për çdo pajisje, një klient i ekspozuar hiqet me revokim ose me heqjen e palës tjetër, dhe pjesa tjetër e flotës vazhdon të punojë.

Një çelës autoriteti i zbuluar nuk mund të trajtohet kështu. Çdo certifikatë që ka nënshkruar ndonjëherë ose që mund të nënshkruante bëhet e dyshimtë, prandaj përgjigjja është zëvendësimi i besimit dhe jo një revokim i vetëm. Ky është një projekt, jo një biletë.

Lexo një skedar përpara se ta kopjosh diku

Dy komanda ju tregojnë çfarë lloj objekti keni në dorë pa shtypur asnjë sekret. E para emërton subjektin dhe flamurin CA në një certifikatë; e dyta vleftëson një çelës dhe raporton llojin e tij. Ekzekutojini të dyja mbi skedarët në paketën që do të shpërndani. Çdo gjë që vleftësohet si çelës privat nuk i përket një direktorie klienti.

openssl x509 -in ca.crt -noout -subject -ext basicConstraints
openssl pkey -in ca.key -noout -check

Nëse komanda e dytë ka sukses mbi një skedar që ndodhet në një paketë klienti, ndaloni dhe trajtojeni paketën si të komprometuar. Rezultati që thotë se një çelës është i vlefshëm thotë gjithashtu se ai është i pranishëm, dhe prania është i gjithë problemi.

Vini re edhe drejtimin e kundërt: një profil klienti përmban në mënyrë legjitime çelësin privat të atij klienti. Fshirja e çdo çelësi që gjeni e ndërpret lidhjen pa përmirësuar asgjë, prandaj objekti duhet identifikuar përpara se të hiqet.

Përmbajtja e një çelësi që e keni shpërndarë tashmë

Mos supozoni se fshirja e kopjes lokale e kthen ekspozimin mbrapsht. Kushdo që e ka pasur skedarin mund ta ketë kopjuar, dhe supozimi i sigurt është se e ka bërë. Ndiqni procesin e incidenteve të operatorit dhe zëvendësoni ankorën e besimit, duke rilëshuar certifikatat e pajisjeve nën një CA të re.

Pastaj ndryshoni paketimin që krijoi problemin. Dërgoni një listim të direktorisë me një listë të qartë të skedarëve të lejuar, mbani çelësin e CA në një makinë që nuk i bashkohet kurrë flotës së klientëve, dhe shënoni cili sistem e mban.

Nëse autoriteti duhet të lëshojë shpesh, zhvendosni nënshkrimin pas një shërbimi ose një autoriteti të ndërmjetëm me shtrirje të ngushtë dhe vlefshmëri të shkurtër. Kështu një gabim i ardhshëm ekspozon një nëngrup të lëshimit dhe jo rrënjën e besimit të të gjithë vendosjes.