OpenVPN சுயவிவரத்தில் மூன்று சான்றிதழ் தொகுதிகள் உள்ளன: எது ரகசியம்?

ஒரு வரியை மாற்ற .ovpn கோப்பைத் திறக்கும்போது, அனைத்தும் உள்நுழைவு விவரங்கள் போலத் தெரியும் மூன்று base64 தொகுதிகள் கிடைக்கின்றன. ஒன்றை வெளியிடுவது பாதுகாப்பானது, மற்றொன்று கடவுச்சொல் அளவுக்கு உணர்திறன் கொண்டது, மூன்றாவது அதன் இணையுடன் வேறு எதுவும் கையொப்பமிடப்படாவிட்டால் எந்த அர்த்தமும் இல்லாத பொது விசை. தொகுதிகள் ஒன்றுக்கொன்று மாற்றக்கூடியதாகத் தெரிவதால் மக்கள் முழு கோப்பையும் ஆதரவு இழையில் ஒட்டுகிறார்கள், அப்படியே வாடிக்கையாளர் விசை பொது காப்பகத்தில் மிஞ்சுகிறது. எந்தத் தொகுதி என்ன செய்கிறது என்பதைப் பிரிப்பது இந்த சுயவிவரங்களைச் சுற்றியுள்ள பெரும்பாலான குழப்பத்தை விளக்குகிறது, எந்தக் கோளாறுகளை நீங்களே சரிசெய்ய வேண்டும் என்பதையும் சொல்கிறது.

ஒரு கோப்பு, மூன்று தொகுதிகள், வெவ்வேறு வேலைகள்

வழக்கமான சுயவிவரம் BEGIN மற்றும் END குறிகளுக்கு இடையே ca தொகுதி, cert தொகுதி மற்றும் key தொகுதியை வைக்கிறது, அல்லது அதே மூன்றையும் தனிக் கோப்புகளாகச் சுட்டுகிறது. சில சுயவிவரங்கள் tls-auth அல்லது tls-crypt விசைக்கு நான்காவது தொகுதியைச் சேர்க்கின்றன, அது சான்றிதழ் அல்ல, பகிரப்பட்ட ரகசியம். வாடிக்கையாளர் ஒவ்வொரு தொகுதியையும் அதைப் பெயரிடும் வழிமுறையின்படி படிக்கிறார், எனவே லேபிள்கள் அவை தோன்றும் வரிசையை விட முக்கியம்.

உள்ளே உண்மையில் பார்க்கும் வரை இணைக்கப்பட்ட சுயவிவரத்தை உணர்திறன் கொண்டதாகக் கருதுங்கள். பொது சான்றிதழும் தனிப்பட்ட விசையும் ஒரே கோப்பில் சில வரிகள் இடைவெளியில் இருக்கலாம், தலைப்பை உள்ளடக்கிய திரைப்பிடிப்பில் இரண்டும் வரலாம். தெரியும் base64-ஐ கையால் மறைப்பதும் நம்பகமானது அல்ல, ஏனெனில் பகுதி தொகுதியும் உங்கள் பயன்பாட்டைப் பெயரிடும் சான்றிதழ் மென்தரவை கசியவிடுகிறது. மூன்று வழிமுறைகளையும் அவற்றின் மதிப்புகள் இல்லாமல் நகலெடுப்பது பொதுவாக பயனுள்ள கேள்வி கேட்க போதும்.

தொகுதிகளைச் சுற்றியுள்ள வழிமுறைகள் அவை எவ்வாறு பயன்படுத்தப்படுகின்றன என்பதைத் தீர்மானிக்கின்றன. ca-ஐ மாற்றினால் வாடிக்கையாளர் வேறு அதிகாரத்தை நம்புகிறார்; key-ஐ மாற்றாமல் cert-ஐ மாற்றினால் நம்பிக்கையுடன் எந்தத் தொடர்பும் இல்லாத பொருத்தமின்மையால் கைக்குலுக்கல் தோல்வியடைகிறது.

CA தொகுதி பொது, CA விசை ஒருபோதும் இல்லை

சான்றிதழ் அதிகாரம் பொது விசையை அடையாளத்துடன் இணைக்கும் சான்றிதழ்களில் கையொப்பமிடுகிறது, அதன் சொந்த சான்றிதழே சங்கிலி நம்பகமானதா என வாடிக்கையாளர் தீர்மானிக்கும் நங்கூரம். அந்த சான்றிதழ் வடிவமைப்பாலேயே பொது: அதை ஒவ்வொரு சுயவிவரத்திலும் அனுப்புவது சாதாரணம், அதனால்தான் சுய-கையொப்பமிட்ட பயன்பாடு வணிக அதிகாரம் இல்லாமல் இயங்க முடிகிறது.

வாடிக்கையாளர் சுயவிவரத்தில் ஒருபோதும் தோன்றக்கூடாதது அதிகாரத்தின் தனிப்பட்ட கையொப்ப விசை. எதையும் சரிபார்க்க வாடிக்கையாளருக்கு அது தேவையில்லை, அதன் இருப்பு என்பது சுயவிவரம் உள்ள யாரும் முழு பயன்பாட்டிற்கும் புதிய அடையாளங்களை உருவாக்கலாம் என்பதாகும்.

அதிகாரத்தை நம்புவதும் கேட்பதை விட குறுகியது. CA கையொப்பமிட்ட எந்த சான்றிதழையும் ஏற்கும் வாடிக்கையாளர் அதே CA-வில் வேறு சேவைக்கு வழங்கப்பட்ட சான்றிதழையும் ஏற்பார். எதிர்பார்க்கப்படும் சேவையகப் பங்கு அல்லது பெயரைப் பிணைக்கும் விருப்பங்கள் அந்த இடைவெளியை மூடுகின்றன, மேலும் TLS விருப்பச் சுட்டி அதைச் செய்யும் சரிபார்ப்பு வழிமுறைகளைப் பட்டியலிடுகிறது.

சேவையகம் மற்றும் வாடிக்கையாளர் சான்றிதழ்கள் எதிர் திசைகளில் சுட்டுகின்றன

சேவையகத்தின் சான்றிதழே சரியான முடிவுப் புள்ளியை அடைந்ததா என உறுதிசெய்ய வாடிக்கையாளர் பரிசோதிப்பது. உங்கள் வாடிக்கையாளர் சான்றிதழ் எதிர் திசையில் செயல்படுகிறது: இந்த சாதனம் அல்லது பயனர் தான் பதிவு செய்த ஒருவர் என முடிவெடுக்க சேவையகம் அதைப் பயன்படுத்துகிறது. அதே வடிவம், எதிர் நம்பிக்கைத் திசை.

முகவரி அடையாளம் அல்ல. சரியான IP-ஐ அடைவது யார் பதிலளித்தார் என்பதைப் பற்றி எதையும் நிரூபிக்கவில்லை, எனவே புரவலன் பெயர் அல்லது சான்றிதழ் பெயர் சரிபார்ப்பு இன்னும் சுயவிவரத்திற்கு உரியது. கணக்கு கடவுச்சொல்லும் தேவையான வாடிக்கையாளர் சான்றிதழை அமைதியாக மாற்றாது, ஏனெனில் இரண்டும் வெவ்வேறு நிலைகளில் சரிபார்க்கப்படுகின்றன, பயன்பாடு இரண்டையும் கோரலாம்.

வாடிக்கையாளரின் தனிப்பட்ட விசை தனிப்பட்டதாகவே இருக்க வேண்டிய பகுதி. அது வெளிப்பட்டிருக்க வாய்ப்பிருந்தால், உங்கள் மடிக்கணினியிலிருந்து கோப்பை நீக்குவது சேவையகத்தில் எதையும் மாற்றாது, அது தொடர்புடைய சான்றிதழை இயக்குபவர் ரத்து செய்யும் வரை ஏற்றுக்கொண்டே இருக்கும். அந்த அடையாளத்தை மாற்ற அல்லது ரத்து செய்ய இயக்குபவரைக் கேட்பதே உங்களுடன் பயணிக்கும் ஒரே தீர்வு.

ஒரே மாதிரி தெரியும், ஆனால் ஒன்றல்லாத இரண்டு கோரிக்கைகள்

மறையாக்கப்பட்ட வடிவில் சேமிக்கப்பட்ட விசை வாடிக்கையாளர் பயன்படுத்தும் முன் கடவுச்சொற்றொடரைக் கேட்கிறது. VPN சேவை தனியாக கணக்கு கடவுச்சொல்லைக் கேட்கலாம், இரண்டு கோரிக்கைகளும் ஏறக்குறைய ஒரே சொற்களில் சில வினாடிகள் இடைவெளியில் வரலாம். கடவுச்சொற்றொடர் உங்கள் வட்டில் உள்ள கோப்பைப் பாதுகாக்கிறது; கடவுச்சொல் சேவையகத்திற்கு கணக்கை நிரூபிக்கிறது. இரண்டையும் குழப்புவது மக்களை உதவ முடியாத கடவுச்சொல் மீட்டமைப்புகளுக்கு அனுப்புகிறது.

எதையும் மீட்டமைக்கும் முன் கோரிக்கையைப் படியுங்கள். கணக்கு கடவுச்சொல் மீட்டமைப்பு மறந்த விசைக் கடவுச்சொற்றொடருக்கும், ரத்து செய்யப்பட்ட அல்லது காலாவதியான சான்றிதழுக்கும் எதுவும் செய்யாது, தோல்வி சான்றிதழ் சரிபார்ப்பாக இருக்கும்போது கடவுச்சொல்லை மீட்டமைப்பது இரண்டு நிமிடத் தீர்வை ஆதரவு வழக்காக மாற்றுகிறது. புகாரில் செல்லுபடி தேதிகள் குறிப்பிட்டால், முதலில் சாதனத்தின் கடிகாரத்தையும் பின்னர் பெயரிடப்பட்ட சான்றிதழின் சொந்த காலத்தையும் சரிபார்க்கவும்.

சான்றிதழ் உண்மையில் காலாவதியானால், மாற்றீடு அதை வழங்கியவரிடமிருந்தே வர வேண்டும். வேறொருவருக்குச் சொந்தமான விசை புதுப்பித்தல் பாதை அல்ல, சக ஊழியரிடமிருந்து வேலை செய்யும் சுயவிவரத்தைக் கடன் வாங்குவதும் அல்ல.

தூய்மையான கைக்குலுக்கல் எதை நிரூபிக்கிறது, எதை நிரூபிக்கவில்லை

முழுமையான TLS கைக்குலுக்கலை அடைவது என்பது அமைக்கப்பட்ட அடையாள உறவு நிலைத்தது என்பதாகும்: சேவையகச் சான்றிதழ் உங்கள் CA-வுடன் சங்கிலியாக இணைந்தது, உங்கள் சான்றிதழ் ஏற்கப்பட்டது. இது இயக்குபவரின் பதிவுக் கொள்கையைப் பற்றி எதுவும் சொல்லாது, சுரங்கப்பாதை ஏறியபின் உங்கள் பயன்பாடுகள் செயல்படுமா என்பதையும் சொல்லாது.

வழிகள் மற்றும் DNS இணைப்பின் பிந்தைய நிலைகள், எனவே வெற்றிகரமான உள்நுழைவுக்குப் பிறகு அடைய முடியாத இன்ட்ராநெட் புரவலன் சான்றிதழின் அல்ல, இணைப்பின் சிக்கல். உள்நுழைவு விவரங்களை மாற்றுவதற்குப் பதிலாக அந்த அடுக்கில் வேலை செய்யுங்கள், சுயவிவரத்தை யாருக்காவது கொடுக்கும்போது அதன் மூலம், தனிப்பட்ட பொருள் மற்றும் அடையாளச் சரிபார்ப்புகளை ஒன்றாக வைத்திருங்கள்.