Wasifu wa OpenVPN una vitalu vitatu vya cheti: kipi ni siri?

Unafungua faili ya .ovpn ili kubadilisha mstari mmoja na unapata vitalu vitatu vya base64 vinavyoonekana vyote kama vitambulisho. Kimoja ni salama kuchapishwa, kingine ni nyeti kama nenosiri, na kingine ni ufunguo wa umma ambao hauna maana yoyote isipokuwa kitu kingine kimesainiwa na jozi yake. Watu hubandika faili yote kwenye mjadala wa usaidizi kwa sababu vitalu vinaonekana kubadilishana, na hivyo ufunguo wa mteja huishia kwenye kumbukumbu ya umma. Kutofautisha ni kitu gani kila kitu kinafanya kunaeleza sehemu kubwa ya mkanganyiko kuhusu wasifu hawa, na pia inakuambia ni hitilafu zipi unapaswa kurekebisha mwenyewe.

Faili moja, vitalu vitatu, kazi tofauti

Wasifu wa kawaida huweka kitu cha ca, kitu cha cert na kitu cha key kati ya alama za BEGIN na END, au huelekeza kwa vile vitatu kama faili tofauti. Baadhi ya wasifu huongeza kitu cha nne kwa ufunguo wa tls-auth au tls-crypt, ambao ni siri ya pamoja na si cheti. Mteja husoma kila kitu kulingana na agizo linalokitaja, kwa hiyo lebo ni muhimu zaidi kuliko mpangilio wa kuonekana.

Chukulia wasifu uliokusanywa kuwa nyeti hadi uangalie ndani kwa kweli. Cheti cha umma na ufunguo wa faragha vinaweza kuwa mistari michache mbali katika faili moja, na picha ya skrini inayojumuisha kichwa inaweza kuwa na vyote viwili. Kufunika base64 inayoonekana kwa mkono pia hakuaminiki, kwa sababu kitu kisichokamilika bado kinavujisha metadata ya cheti inayotaja usambazaji wako. Kunakili maagizo matatu bila thamani zake kwa kawaida kunatosha kuuliza swali lenye manufaa.

Maagizo yanayozunguka vitalu huamua jinsi vinavyotumika. Badilisha ca na mteja anaamini mamlaka nyingine; badilisha cert bila kubadilisha key na makubaliano yanashindwa kwa kutofautiana kusiko na uhusiano wowote na uaminifu.

Kitu cha CA ni cha umma, ufunguo wa CA kamwe

Mamlaka ya vyeti husaini vyeti vinavyounganisha ufunguo wa umma na utambulisho, na cheti chake yenyewe ni nanga ambayo mteja hutumia kuamua kama mnyororo unaaminika. Cheti hicho ni cha umma kwa muundo: kukituma ndani ya kila wasifu ni kawaida, na ndiyo sababu usambazaji uliojisainia unaweza kufanya kazi bila mamlaka ya kibiashara.

Kile ambacho hakipaswi kuonekana kamwe katika wasifu wa mteja ni ufunguo wa faragha wa kusaini wa mamlaka. Mteja hauhitaji kwa kuthibitisha chochote, na uwepo wake unamaanisha kuwa yeyote mwenye wasifu anaweza kuunda utambulisho mpya kwa usambazaji wote.

Kumwamini mamlaka pia ni nyembamba kuliko inavyosikika. Mteja anayekubali cheti chochote kilichosainiwa na CA bado atakubali cheti kilichotolewa kwa huduma nyingine kwenye CA hiyo hiyo. Chaguo zinazobana jukumu au jina linalotarajiwa la seva hufunga pengo hilo, na Marejeo ya chaguo za TLS huorodhesha maagizo ya uthibitishaji yanayofanya hivyo.

Vyeti vya seva na mteja vinaelekeza pande tofauti

Cheti cha seva ni kile ambacho mteja hukagua ili kuthibitisha kuwa amefikia kituo sahihi cha mwisho. Cheti chako cha mteja huenda upande mwingine: seva hutumia kama kuthibitisha kuwa kifaa au mtumiaji huyu ni mmoja aliyeusajili. Muundo uleule, mwelekeo wa uaminifu kinyume.

Anwani si utambulisho. Kufikia IP sahihi hakuthibitishi chochote kuhusu nani alijibu, kwa hiyo ukaguzi wa jina la mwenyeji au jina la cheti bado ni sehemu ya wasifu. Nenosiri la akaunti pia halichukui kwa utulivu nafasi ya cheti cha mteja kinachohitajika, kwa sababu vyote viwili hukaguliwa katika hatua tofauti na usambazaji unaweza kuhitaji vyote viwili.

Ufunguo wa faragha wa mteja ni sehemu inayopaswa kubaki ya faragha. Ikiwa unaweza kuwa umefichuliwa, kufuta faili kwenye kompyuta yako hakubadilishi chochote kwenye seva, ambayo itaendelea kukubali cheti kinachohusika hadi mwendeshaji atakapokifuta. Kumwomba mwendeshaji kubadilisha au kufuta utambulisho huo ndiyo suluhisho pekee linalosafiri nawe.

Maombi mawili yanayofanana na hayafanani

Ufunguo uliohifadhiwa kwa umbo lililosimbwa huomba kifungu cha siri kabla mteja hajaweza kuutumia. Huduma ya VPN inaweza kuomba nenosiri la akaunti kando, na maombi mawili yanaweza kutokea kwa sekunde chache tofauti kwa maneno yanayokaribia kufanana. Kifungu cha siri hulinda faili kwenye diski yako; nenosiri huthibitisha akaunti kwa seva. Kuvichanganya hupeleka watu kwenye mipangilio upya ya nenosiri ambayo haiwezi kusaidia kabisa.

Soma ombi kabla ya kuweka upya chochote. Kuweka upya nenosiri la akaunti hakufanyi chochote kwa kifungu cha siri kilichosahaulika, cheti kilichofutwa au kilichopitwa na wakati, na kuweka upya nenosiri wakati hitilafu ni uthibitishaji wa cheti hugeuza marekebisho ya dakika mbili kuwa kesi ya usaidizi. Ikiwa malalamiko yanataja tarehe za uhalali, kagua saa ya kifaa kwanza kisha dirisha la cheti kilichotajwa.

Cheti kinapopitwa na wakati kwa kweli, mbadala lazima utoke kwa aliyekitoa. Ufunguo wa mtu mwingine si njia ya kuhuisha, na kuazima wasifu unaofanya kazi kwa mwenzio pia si njia.

Makubaliano safi yanathibitisha nini na hayathibitishi nini

Kufikia makubaliano ya TLS yaliyokamilika kunamaanisha uhusiano wa utambulisho uliosanidiwa ulidumu: cheti cha seva kiliunganishwa na CA yako na cheti chako kilikubaliwa. Hilo halisemi chochote kuhusu sera ya ukaguzi wa mwendeshaji, wala kama programu zako zitafanya kazi baada ya handaki kuinuliwa.

Njia na DNS ni hatua za baadaye za muunganisho, kwa hiyo mwenyeji wa intraneti asiyefikika baada ya kuingia kwa mafanikio ni tatizo la muunganisho na si la cheti. Fanyia kazi tabaka hilo badala ya kubadilisha vitambulisho, na uweke pamoja asili ya wasifu, nyenzo zake za faragha na ukaguzi wake wa utambulisho unapompa mtu.