Cheti cha mteja kilichojisaini? Seva ya VPN bado inakikataa

Mwendeshaji hutuma anwani na jina la mtumiaji, na mteja huomba faili ya CA, cheti na ufunguo. Kutengeneza hivi vitatu ndani ya kompyuta yako kinaonekana kama hatua inayofuata iliyo wazi. Matokeo ni cheti ambacho mashine yako pekee inaamini. Uaminifu wa seva umefungwa kwenye CA usiyoithibiti, kwa hiyo makubaliano ya mkono yanaisha kabla ya kuanza.

Uaminifu unaishi kwenye seva, si kwenye wasifu wako

Uthibitishaji wa cheti ni ulinganisho. Mteja huwasilisha cheti; lango hukagua ikiwa kimesainiwa na moja ya CA katika usanidi wake.

Wasifu wako unataja faili ya CA ambayo mteja anapaswa kutumia kuthibitisha seva. Haiwezi kutaja CA ambayo seva inapaswa kutumia kukuthibitisha wewe. Nusu hiyo ya usanidi si yako.

Cheti ulichojitengenezea kinashindwa katika ulinganisho huu hata kikiwa kamili kiufundi. Kina sahihi halali, mada na tarehe, lakini mtoaji ni CA ambayo lango halijawahi kuisikia. Hitilafu inaonekana wakati wa makubaliano ya mkono, baada ya seva kuwa imeomba cheti tayari. Hakuna kitu kwenye wasifu wa mteja kinachoweza kubadilisha jibu.

Kwa nini cheti kilichojisaini hakiwezi kuchukua nafasi yake

Cheti kilichojisaini kinasainiwa na ufunguo wake yenyewe. Sahihi huthibitishwa dhidi ya faili hiyo hiyo, jambo linalokifanya kiwe na uwiano wa ndani na kisichofaa kama kitambulisho kwa lango la mtu mwingine.

Lango haliulizi ikiwa cheti kina uwiano wa ndani. Hiliuliza ikiwa mtoaji anayeaminika alikisaini.

Ndiyo sababu ujumbe wa hitilafu unachanganya. Mteja anaweza kuripoti kushindwa kwa uthibitishaji kunakosikika kama tatizo la seva, wakati seva inarekodi mtoaji asiyejulikana. Wote wanafafanua kutokulingana hiyo hiyo kutoka pande tofauti.

Njia ya CSR huhifadhi ufunguo wako wa faragha

Bado unaweza kufanya sehemu kubwa ya kazi ndani ya kompyuta yako. Tengeneza jozi ya funguo, jenga ombi la kusaini cheti kuzunguka nusu ya umma, na utume ombi hilo kwa mwendeshaji. Ni ombi pekee linalotoka kwenye mashine yako. Nusu ya faragha inabaki mahali ulipotengeneza.

openssl req -new -newkey rsa:3072 -nodes -keyout client.key -out client.csr -subj "/CN=laptop-01"

Mwendeshaji hukisaini ombi kwa CA yake na kurudisha cheti. Ufunguo wako wa faragha haukuwahi kusafiri, na matokeo hufungamana na nanga ambayo lango inaamini.

Huduma zinazosimamiwa mara nyingi huruka CSR na kutoa kifurushi kizima. Ni kubadilishana kuzuri wakati mtoa huduma huyo huyo tayari anamaliza handaki na anamiliki CA. Utunzaji wa ufunguo hauboreshwi kwa kuuhifadhi, kwa sababu mtoa huduma anaweza kutengeneza mpya wakati wowote.

Vifurushi huagizwa kutoka nje, havisakinishwi

Vifurushi vya wauzaji vyenye majina yanayosikika kama usalama mara nyingi ni wasifu wa OpenVPN. Vina usanidi na wakati mwingine vyeti, na havisakinishi chochote. Ingiza faili kwenye mteja anayezungumza itifaki, na muunganisho umesanidiwa.

Kanuni ya utunzaji inatokana na yaliyomo. Ikiwa wasifu unajumuisha ufunguo wa faragha, ni kitambulisho na kinastahili uangalifu sawa na nenosiri: hakuna barua pepe, hakuna hazina, hakuna folda ya upakuaji inayoshirikiwa. Mwendeshaji anapotoa ca.crt, client.crt na client.key kwa tofauti, vihifadhi pamoja na ruhusa zenye vikwazo na uelekeze wasifu kwa vyote.

Ongeza ukaguzi ambao mwendeshaji anaweza kuwa aliruka

Wasifu unaotengenezwa na kipanga njia wakati mwingine hauna uthibitishaji wa mwenzake. remote-cert-tls server inahitaji cheti cha mwenzake kiwe na madhumuni ya uthibitishaji wa seva, ili cheti cha mteja kisiweze kuchezwa tena kama seva. Mstari huo mmoja ni mabadiliko madogo yenye sababu iliyo wazi.

verify-x509-name inaenda mbali zaidi wakati mwendeshaji anaweza kutaja mada au SAN inayotarajiwa. Zote mbili ni nyongeza ndogo kwenye wasifu, na zote mbili zinaweza kuteteleka. Kagua ulichopokea kabla ya kukiingiza.

openssl x509 -in client.crt -noout -issuer -subject -dates
openssl verify -CAfile ca.crt client.crt

Mipangilio ya uthibitishaji si ukarabati wa mnyororo uliovunjika. Ikiwa mtoaji si sahihi, jibu ni cheti kutoka CA sahihi, si bendera inayozima ukaguzi. Kuzima uthibitishaji hubadilisha kushindwa kwa uthibitishaji kuwa kushindwa kusikogunduliwa.

Omba kifurushi kimoja: cheti cha mamlaka kama PEM, cheti cha mteja kilichosainiwa na mamlaka hiyo, ufunguo uliotengeneza mwenyewe au uliokuja kupitia njia unayoiamini, na jina kamili la seva ambalo cheti kinapaswa kuwasilisha. Andika tarehe ya mwisho wa uhalali katika ujumbe huo huo, kwa sababu cheti kilichopitwa na wakati kinaonekana kama hitilafu ya mtandao miezi kadhaa baadaye.