Kusasisha cheti cha VPN bila kubadilisha utambulisho wake

Usasishaji wa cheti unaobadilisha utambulisho si usasishaji, ni uhamisho uliovaa tikiti ya matengenezo. Mteja huthibitisha jina, mnyororo na wakati mwingine ufunguo maalum, na yote matatu yanaweza kubadilika bila tarehe ya mwisho kubadilika. Kabla ya kuomba uingizwaji, andika kile mteja anachokagua kwa kweli: jina la mwenyeji au utambulisho wa mwenzake, madhumuni ya cheti, sera ya funguo na mnyororo wa mtoaji. Usasishaji ni wa kawaida au ulioratibiwa kulingana na kile uingizwaji unabadilisha.

Masharti matatu huamua umbo la usasishaji

Masharti matatu ni kama kitu kinakaza jani, kama mnyororo unabadilika, na nani mwingine huthibitisha jina. Jibu kutoka upande wa mteja na si kwa urahisi wa CA, kwa sababu mteja ndiye anayeshindwa saa tatu usiku.

Anza kwa kukagua cheti ulichonacho. openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName huchapisha somo, mtoaji, muda wa uhalali na majina ambayo cheti ni halali kwa kweli. Sehemu hiyo ya mwisho ni muhimu zaidi na mara nyingi huchukuliwa kama ilivyo: ombi la usasishaji linaloacha SAN ambayo mteja anaitumaini hutoa cheti halali kitaalamu lakini kisicho sahihi kiutendaji. Nakili orodha ya SAN kutoka cheti cha zamani kwenye ombi badala ya kuiandika tena kutoka kumbukumbu.

Sharti la kwanza: kama kitu kinakaza jani

Ikiwa wateja wanamwamini CA inayotunzwa na wanathibitisha jina, usasishaji wa jani na ufunguo mpya hauwezi kuonekana kwao. Ikiwa mteja yeyote anakaza cheti cha jani, alama yake ya kidole au ufunguo wake wa umma, uingizwaji ni mabadiliko yaliyoratibiwa na mpito mgumu, kwa sababu kikazo cha zamani hakiwezi kuthibitisha cheti kipya.

Jua ni kesi gani uliyo nayo kabla ya kuagiza kitu chochote. Kikazo ambacho hakuna aliyekidokumenti bado ni kikazo kinapovunjika.

Sharti la pili: linganisha vikazo na mnyororo

Alama za vidole hufanya kikazo kikagulike: openssl x509 -noout -fingerprint -sha256 -in server.crt kwenye cheti cha zamani na kipya, na openssl x509 -noout -pubkey kulinganisha funguo za umma. Ikiwa usanidi wa mteja, wasifu wa simu au hifadhi ya uaminifu ya kifaa ina mojawapo ya thamani hizo, una kikazo. Wasifu wa VPN wa simu ni mahali pa kujificha pa kawaida, kwa sababu wasifu husambazwa mara moja na haukaguliwi tena.

Ikiwa uingizwaji unatoka kwa mtu wa kati yuleyule na mteja tayari anayo au anaweza kuipata, hakuna kinachobadilika upande wa uaminifu. Mtu mpya wa kati, mtoaji tofauti au mnyororo uliotolewa kwa mpangilio mbaya hubadilisha usasishaji kuwa mabadiliko ya uaminifu, na hitilafu inaonekana kama mtoaji asiyejulikana badala ya cheti kilichoisha muda.

Kagua mnyororo ambao seva hutuma kwa kweli na openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -showcerts, na uthibitishe kwa ndani na openssl verify -CAfile ca.pem -untrusted chain.pem server.crt. Kufanya hivyo kabla ya mabadiliko kunakupa msingi wa kulinganisha baadaye.

Sharti la tatu: nani mwingine huthibitisha jina

Kikolezo cha VPN, kisawazisha mzigo, kichunguzi cha ufuatiliaji, muunganisho wa RADIUS au SAML na wasifu wa simu kila kimoja kinaweza kushikilia nakala yake ya jina linalotarajiwa au nanga ya uaminifu. Usasishaji ni wakati ambapo nakala hizo hutofautiana, kwa sababu cheti hubadilika na nakala hazibadiliki.

Orodhesha kila mtumiaji kabla ya mabadiliko na uamue kwa kila mmoja kama anahitaji sasisho. Yule unayemsahau ndiye atakupigia simu.

Pia kuna mtego wa muda. Kagua mwanzo wa uhalali pamoja na mwisho, kwa sababu cheti kilichoandaliwa kwa uanzishaji wa baadaye hukataliwa ikiwa kimewekwa mapema mno, na hitilafu inaonekana kama tatizo la saa badala ya tatizo la maandalizi. openssl x509 -noout -dates kwenye faili mpya kabla ya kupeleka ni ukaguzi wa sekunde mbili. Hifadhi pia njia ya urejeshaji inayoungwa mkono na usanidi unaojulikana kuwa mzuri, ili usasishaji unaokwenda kombo uweze kutenduliwa kwa kurejesha cheti na ufunguo wa awali.

Sambaza, thibitisha na uthibitishaji mpya, kisha uondoe

Tunnel iliyoanzishwa huakisi uthibitishaji uliotokea ilipoandaliwa, kwa hivyo inaweza kuonekana nzuri wakati kila muunganisho mpya unashindwa. Jaribu kwa uthibitishaji mpya ukitumia jina halisi la huduma ambalo wateja hutumia.

Kamilisha ukaguzi wa ngazi ya programu ambao mtumiaji anajali, na uthibitishe uwasilishaji wa mnyororo kwa mtazamo wa mteja badala ya seva. Usikandamize ukaguzi wa jina au cheti ili kuweka mpito kimya; hilo hubadilisha tatizo la muda la uoanifu kuwa la kudumu.

Ondoa nyenzo zilizopitwa na wakati tu baada ya usambazaji kuthibitishwa, na chukulia ufunguo ulioathirika kama kesi tofauti kabisa: usasishaji peke yake hauondoi kitu chochote, kwa hivyo utambulisho ulioathirika unahitaji mchakato wa uondoaji na usimamizi wa vipindi vya usambazaji huo. RFC 5280 hufafanua kanuni za cheti na uthibitishaji wa njia zinazosimamia haya yote. Tenganisha usasishaji wa kawaida wa jani na uingizwaji wa CA, ili wateja wasiombwe kuamini mtoaji mpya bila sababu.