Kujisaini Mwenyewe dhidi ya CA ya Umma kwa VPN: Kinachobadilika Kwa Kweli

Unafika kwenye ukurasa wa vyeti wa usanidi wa VPN, unaona chaguo la bure la kujisaini mwenyewe kando ya CA ya umma inayolipiwa, na swali linasikika kama uchaguzi wa usalama. Kwa kweli ni uchaguzi wa hadhira. Chaguo zote mbili zinasimba handaki kwa viambajengo sawa, na zote mbili hazina thamani ikiwa ufunguo wa faragha utavuja. Kinachowatenganisha ni nani anayetoa dai kuhusu utambulisho wa seva, na nani yuko katika nafasi ya kuthibitisha dai hilo.

Cheti hufanya kazi mbili zinazochanganywa

Cheti huunganisha ufunguo wa umma na jina, na ufunguo hufanya kazi ya usimbaji na utiaji sahihi. Sahihi iliyo kwenye cheti ni tamko tofauti: mamlaka fulani imethibitisha kwamba jina ni la mmiliki huyu wa ufunguo. Cheti cha kujisaini mwenyewe hutoa tamko hilo kuhusu yenyewe, jambo ambalo si dai la mtu wa tatu hata kidogo.

Tovuti za umma zinahitaji toleo la mtu wa tatu, kwa sababu wageni huja bila uhusiano wowote wa awali na hutegemea hifadhi ya uaminifu ya kivinjari. Mteja wa VPN si mgeni. Unampa cheti cha CA, au unabandika cheti cha seva, ndani ya wasifu anaosakinisha, kwa hiyo uthibitishaji hufanyika dhidi ya mamlaka uliyochagua hasa. Hakuna CA ya kibiashara inayohitajika kuhusika ili ukaguzi huo uwe na maana.

Nguvu ya kikao kinachotokana hutoka kwa ukubwa wa ufunguo na seti ya usimbaji, si kwa mtia sahihi. Ndiyo sababu kuita cheti cha kujisaini mwenyewe "kilichosimbwa kidogo" ni kosa kabisa; kina dhamana ndogo zaidi kwa upana, jambo ambalo ni sifa tofauti.

Ambapo CA ya umma hupata ada yake

Kisa kilicho wazi zaidi ni ukurasa wa utawala. Ikiwa wenzako, wakandarasi au mtu mwingine yeyote asiye na wasifu ulioandaliwa lazima afungue kiolesura cha wavuti cha seva ya VPN bila onyo la kivinjari, cheti kinachoaminika hadharani huondoa msuguano huo. Kivinjari tayari kinamwamini mtia sahihi, kwa hiyo hakuna cha kuagiza na hakuna cha kueleza.

Starehe hiyo ina gharama zinazofaa kutajwa kabla ya kununua. Uboreshaji unapaswa kufanywa kiotomatiki, vinginevyo tovuti huvunjika kwa ratiba, vyeti vya umma hufichua jina la mwenyeji katika kumbukumbu za uwazi wa vyeti, na mipaka ya kasi ya utoaji huadhibu skripti inayojaribu tena kwa shauku kubwa. Hakuna moja ya hayo ni sababu ya kuepuka CA ya umma, lakini ni kazi ya kiutendaji ambayo CA ya kibinafsi huihamishia mahali pengine.

Kile cheti cha umma kisichofanya ni kuthibitisha watumiaji wako. Utambulisho wa mteja ni uamuzi tofauti, unaochukuliwa kwa vyeti vya mteja, nenosiri au kipengele cha pili, na CA inayotia sahihi seva haisemi chochote kuhusu nani anaruhusiwa kuunganishwa nayo.

Ambapo CA ya kibinafsi inafaa VPN

Kwa VPN ya kibinafsi yenye seti inayojulikana ya wateja, kuendesha CA yako mwenyewe ni chaguo la kawaida. Unaunda CA mara moja, unatia sahihi cheti cha seva kwa jina ambalo wateja watatumia, na unasambaza cheti cha CA ndani ya kila wasifu. Kisha kila mteja huthibitisha seva dhidi ya mamlaka yako, na hakuna upande wa nje unaojua jina la mwenyeji.

Gharama ni za kweli lakini zina mipaka. Vivinjari vitatoa onyo mtu anapofungua ukurasa wa utawala moja kwa moja, kwa sababu kivinjari hakina sababu ya kuamini CA yako. Usambazaji wa wasifu unakuwa sehemu ya uingizaji, na kuzungusha CA kunamaanisha kugusa kila mteja. Hizo ni bei zinazokubalika kwa huduma yenye watumiaji kumi au hamsini wanaojulikana na zinauma kwa kituo cha mwisho cha umma chenye maelfu.

Sharti moja hufanya mpangilio wote kuwa halali: uthibitishaji lazima ufanyike. Mteja aliyesanidiwa kupuuza makosa ya cheti hukubali seva yoyote inayowasilisha cheti chochote, kwa hiyo dhamana ya utambulisho hupotea wakati usimbaji unabaki. Mpango huo ndio udhaifu wa kweli katika hadithi nyingi za "kujisaini mwenyewe si salama".

Ufunguo wa faragha wa CA huamua unachoweza kufanya baadaye

Mshangao kwa kawaida huja baada ya miezi, unapotaka kuongeza kifaa. Kutoa cheti cha mteja kunahitaji ufunguo wa faragha wa CA, na hivyo pia kutengeneza orodha ya kufuta. Ikiwa umerithi seva iliyo na faili za cheti na ufunguo lakini si ufunguo wa CA, huwezi kutia sahihi kitu kipya. Chaguo zako ni kujenga upya PKI na kumpa kila mteja cheti kipya cha CA, au kuhamia uthibitishaji wa nenosiri, ambao ni mfano tofauti wa usalama na haurejeshi kilichopotea.

Mitego miwili midogo huishi katika eneo moja. Skripti za easy-rsa hudhani uko kwenye folda inayozishikilia, kwa hiyo hitilafu ya faili inayokosekana kwa kawaida humaanisha eneo lisilo sahihi na si usakinishaji ulioharibika. Na muundo wa vyeti pekee ni halali kabisa: unaweza kuhitaji vyeti vya mteja bila ufunguo ulioshirikiwa mapema, mradi kila mteja ana kimoja na seva huthibitisha mnyororo.

Toa cheti kimoja kwa kila kifaa badala ya cheti kimoja cha mteja kinachoshirikiwa kwa timu yote. Kompyuta ya mkononi iliyopotea basi inakugharimu kufuta kimoja badala ya kutoa upya kwa kila mtu.

Angalia ulichorithi

Kabla ya kupanga mabadiliko yoyote, soma cheti ulicho nacho tayari:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Ikiwa mtoaji ni sawa na kipengele, cheti ni cha kujisaini mwenyewe, ambayo ni chaguo la muundo na si kasoro. Tarehe zinakuambia ni lini uboreshaji utakuwa tatizo la mtu, na uthibitishaji uliofanikiwa dhidi ya CA unayokusudia kuwasilisha unathibitisha kwamba mnyororo unafanya kazi kabla ya mteja mmoja kuujaribu.

Kisha chagua kwa hadhira na usambazaji: CA ya umma wakati vivinjari visivyojulikana lazima viamini ukurasa wa utawala, CA ya kibinafsi wakati kila mteja anapokea wasifu unaoudhibiti. Hakuna jibu lililo na usimbaji zaidi kuliko lingine.