Kwa nini kunakili ca.key kwa kila mteja wa VPN huharibu CA

Mahali fulani katika maagizo ya usanidi, saraka nzima inanakiliwa kikamilifu kwenye kila kompyuta ya mkononi kwa sababu ilikuwa rahisi kuliko kuamua ni faili gani zinapaswa kuwa hapo. Saraka hiyo ina ca.key, na mara tu inapofika kwenye kifaa cha pili, mamlaka ya vyeti haitakuwa mamlaka tena. Sasa mmiliki yeyote anaweza kutoa utambulisho ambao mtandao uliobaki utauamini.

Tatanisho hili linafaa kufumbuliwa mara moja, kwa sababu faili mbili zinafanana lakini hufanya mambo kinyume.

Nyenzo za uthibitishaji na nyenzo za kutia sahihi

Mteja anahitaji cheti cha umma cha CA ili kuthibitisha kuwa cheti kinachowasilishwa na upande mwingine kimetiwa sahihi na mamlaka hiyo. Hii ni kazi ya uthibitishaji na haihitaji siri yoyote. Kutia sahihi cheti cha upande mwingine ni kazi nyingine, inayofanywa mara moja na anayeendesha CA, kwa ufunguo wa faragha ambao hauachi kamwe hifadhi yake iliyolindwa. Kutenganisha kazi hizi mbili ndio kusudi lote la kutuma faili mbili.

Kwa hiyo ca.crt ni mali ya wasifu na ca.key si mali ya mahali popote karibu nayo. Majina ya faili ni mkataba, si uhakika, kwa hiyo aina lazima ichunguzwe badala ya kukisiwa kutokana na jina.

Usanifu wenye CA ya kati au huduma ya utoaji mtandaoni si ubaguzi. Ndiyo njia ya kawaida ya kuweka uwezo wa kutia sahihi mbali na ncha za mwisho huku vyeti vya vifaa vikitolewa kwa kiwango kikubwa.

Mteja anapaswa kuthibitisha nini kwa ufunguo wake mwenyewe

Kila kifaa hupata jozi yake ya funguo na cheti chake mwenyewe, kilichotiwa sahihi mara moja na CA. Mteja huwasilisha cheti hicho na kuthibitisha kuwa anamiliki ufunguo wa faragha unaolingana, na seva huamua ikiwa itakubali. Hiki ni kitambulisho kinachofutwa wakati kompyuta ya mkononi inapopotea.

Tofauti hii ni muhimu zaidi baada ya wizi. Kukiwa na vitambulisho kwa kila kifaa, mteja mmoja aliyezwea huondolewa kwa kufuta au kwa kuondoa upande mwingine, na kundi lililobaki linaendelea kufanya kazi.

Ufunguo wa mamlaka uliovuja hauwezi kushughulikiwa hivyo. Kila cheti alichowahi kutia sahihi au angeweza kutia sahihi kinakuwa cha kutiliwa shaka, kwa hiyo jibu ni kubadilisha uaminifu na si kufuta kimoja. Huu ni mradi, si tiketi.

Soma faili kabla ya kuinakili mahali popote

Amri mbili zinakuambia ni aina gani ya kitu ulichonacho mkononi bila kuchapisha siri yoyote. Ya kwanza inataja mada na bendera ya CA kwenye cheti; ya pili inathibitisha ufunguo na kuripoti aina yake. Zitumie zote mbili kwenye faili zilizo katika kifurushi unachokwenda kusambaza. Kitu chochote kinachothibitishwa kama ufunguo wa faragha hakiwi katika saraka ya mteja.

openssl x509 -in ca.crt -noout -subject -ext basicConstraints
openssl pkey -in ca.key -noout -check

Ikiwa amri ya pili itafanikiwa kwenye faili iliyo katika kifurushi cha mteja, simama na uchukue kifurushi kama kilichovamiwa. Matokeo yanayosema ufunguo ni halali pia yanasema ufunguo upo, na uwepo wake ndio tatizo lote.

Angalia pia upande wa pili: wasifu wa mteja kwa halali una ufunguo wa faragha wa mteja huyo. Kufuta kila ufunguo unaoukuta huvunja muunganisho bila kuboresha chochote, kwa hiyo kitu lazima kitambuliwe kabla ya kuondolewa.

Kudhibiti ufunguo ambao tayari umesambaza

Usidhani kuwa kufuta nakala ya ndani kunarudisha mfiduo. Yeyote aliyekuwa na faili anaweza kuwa alinakili, na dhana salama ni kwamba alifanya hivyo. Fuata mchakato wa matukio wa mendeshaji na ubadilishe nanga ya uaminifu, ukitoa tena vyeti vya vifaa chini ya CA mpya.

Kisha badilisha ufungashaji uliozalisha tatizo. Tuma orodha ya saraka pamoja na orodha wazi ya faili zinazoruhusiwa, weka ufunguo wa CA kwenye mashine ambayo haijiunga kamwe na kundi la wateja, na andika ni mfumo gani unaoushika.

Ikiwa mamlaka inapaswa kutoa mara kwa mara, hamishia utiaji sahihi nyuma ya huduma au mamlaka ya kati yenye wigo mwembamba na uhalali mfupi. Kwa njia hiyo kosa la baadaye litafichua sehemu ndogo ya utoaji na si mzizi wa uaminifu wa uenezaji wote.