CA இல்லாமல் OpenVPN: peer-fingerprint சகாக்களை எவ்வாறு சரிபார்க்கிறது

ஒரு சிறிய பயன்பாடு கைரேகைகளை நோக்கி செல்கிறது, ஏனெனில் சான்றிதழ் அதிகாரம் யாருக்கும் நிர்வகிக்க நேரமில்லாத உள்கட்டமைப்பாகத் தெரிகிறது. உள்ளுணர்வு நியாயமானது, ஆனால் அதற்குப் பதிலாக மக்கள் எடுக்கும் குறுக்குவழி—ஒரு தரவு-சேனல் ரகசியத்தை இரு முனைகளுக்கும் நகலெடுப்பது—அப்படி இல்லை. peer-fingerprint அமைப்பு TLS கட்டமைப்பை அப்படியே வைத்திருக்கிறது: ஒவ்வொரு பக்கமும் தனது சொந்த தனிப்பட்ட திறவுகோலையும் சான்றிதழையும் இன்னும் வைத்திருக்கிறது, ஒவ்வொரு பக்கமும் மற்றொன்றை இன்னும் சரிபார்க்கிறது. மாறுவது சரிபார்ப்பு எங்கே நங்கூரமிடப்பட்டுள்ளது என்பதுதான்: நம்பகமான வழங்குநரிலிருந்து பின்னப்பட்ட டைஜெஸ்ட்களின் குறுகிய பட்டியல் வரை. டைஜெஸ்ட் பெயரை அல்ல, முழு சான்றிதழையும் உள்ளடக்குவதால், புதுப்பித்தல் உண்மையில் நேரம் எடுக்கும் செயலாக மாறுகிறது.

கைரேகை உண்மையில் எதற்குக் கடப்பாடு கொள்கிறது

சான்றிதழின் கைரேகை DER-குறியாக்கம் செய்யப்பட்ட முழு சான்றிதழின் டைஜெஸ்ட், அதன் பொது திறவுகோலின் அல்ல, அதன் உட்பொருள் பெயரின் அல்ல. எனவே ஒரே பெயர்களும் ஒரே திறவுகோலும் ஆனால் வெவ்வேறு செல்லுபடி தேதிகளும் கொண்ட இரு சான்றிதழ்களுக்கு வெவ்வேறு கைரேகைகள் உள்ளன. அதுவே பின்னிங்கைத் துல்லியமாக்குகிறது, அதுவே புதுப்பித்தலை இடையூறாகவும் ஆக்குகிறது. பின்னிங் பொதுவாக ஒரு திறவுகோலை நம்புவது என்று பொருள்பட முடியாது, ஏனெனில் அது ஒரு பொருளை அதன் வாழ்வின் ஒரு தருணத்தில் பெயரிடுகிறது. யாரும் டைஜெஸ்ட்டை அறியலாம், அதை அறிவது தானாக எதையும் நிரூபிக்காது.

openssl x509 -in server.crt -noout -fingerprint -sha256
openssl x509 -in client-07.crt -noout -fingerprint -sha256

பொருந்தும் தனிப்பட்ட திறவுகோலை வைத்திருப்பதே சகாவிடம் அந்த சான்றிதழ் உள்ளது என்பதை நிரூபிக்கிறது, டைஜெஸ்ட் என்பது மறுபக்கம் அந்த சான்றிதழை எதிர்பார்த்ததா இல்லையா என்பதைத் தீர்மானிக்கும் வழி. இந்தப் பிரிவே இந்த வடிவமைப்பு பழைய பகிரப்பட்ட-ரகசிய ஏற்பாடு இல்லாததற்குக் காரணம்: பகிரப்பட்ட திறவுகோல் அதே பைட்டுகளை அறிந்த யாரையும் அங்கீகரிக்கிறது, பின்னிங் ஒரு சான்றிதழை அங்கீகரிக்கிறது. வேறு சாதனம் அதே ரகசியத்தின் நகலல்ல, தனது சொந்தப் பதிவைப் பெறுகிறது, இது கோப்புகளில் சிறிய வேறுபாடு மற்றும் சேதத்தின் அளவில் பெரிய வேறுபாடு.

வரைபடம் இரு வழியானது, சமச்சீரானது அல்ல

ஒவ்வொரு முனைக்கும் இரு விஷயங்கள் தேவை: தனது சொந்த தனிப்பட்ட திறவுகோல் சான்றிதழுடன், மற்றும் எந்த சகா சான்றிதழ்களை ஏற்கும் என்பதற்கான அறிக்கை. கிளையண்டில் அந்த அறிக்கை சேவையக சான்றிதழின் டைஜெஸ்ட்; சேவையகத்தில் அது பதிவுசெய்யப்பட்ட கிளையண்ட் டைஜெஸ்ட்களின் பட்டியல். Community 2.6 க்காக சிறிய அமைப்பின் அதிகாரப்பூர்வ எடுத்துக்காட்டு peer-fingerprint உடன் ஏற்பாட்டைக் காட்டுகிறது, மேலும் உண்மையான பயன்பாட்டிற்கு இந்த நம்பிக்கை மாதிரியைத் தேர்ந்தெடுப்பதற்கு முன் அதைப் படிக்கத் தகும். இரு திசைகளும் ஒரு திருப்பப்பட்ட பட்டியல் அல்ல, அவை ஒரே தருணத்தில் தோல்வியடைவதில்லை.

சாதனம் சேர்ப்பது சேவையகத்தில் அனுமதிப் பட்டியலைத் திருத்துகிறது, ஏற்கனவே உள்ள கிளையண்டின் தனிப்பட்ட பொருட்களை நகலெடுக்காமல், சேவையகத் திறவுகோலை எங்கும் நகர்த்தாமல். இரு திசைகளும் தனித்தனியாகவும் தோல்வியடைகின்றன, இது கண்டறிதலில் பயனுள்ளது: எந்தப் பக்கம் கைக்குலுக்கலை மூடுகிறதோ அதுவே எதிர்பார்ப்பு நிறைவேறாத பக்கம். கிளையண்ட் சேவையகத்தை மறுத்தால், டைஜெஸ்ட் சமர்ப்பிக்கப்பட்ட சான்றிதழுடன் பொருந்தாது. சேவையகம் கிளையண்டை மறுத்தால், அந்தக் கிளையண்டின் டைஜெஸ்ட் பட்டியலில் இல்லை, அல்லது கிளையண்ட் பதிவுசெய்ததைத் தவிர வேறு சான்றிதழைச் சமர்ப்பிக்கிறது.

பதிவு: புதிய சாதனம் எவ்வாறு இணைகிறது

புதிய சாதனத்தின் திறவுகோலையும் சான்றிதழையும் தனிப்பட்ட திறவுகோல் இருக்கும் இடத்திலேயே உருவாக்கி, பிறகு பொது பொருளை மட்டும் அதைப் பின்ன வேண்டிய பக்கத்திற்கு நகர்த்துங்கள். எதிர்பார்க்கப்படும் டைஜெஸ்ட்டை நீங்கள் ஏற்கனவே நம்பும் சேனல் வழியாக அனுப்புங்கள், மேலும் பரிச்சயமாகத் தெரியும் பெயருக்குப் பதிலாக முழு சான்றிதழையும் ஒப்பிடுங்கள். சான்றிதழுடன் அதே சரிபார்க்கப்படாத பதிவிறக்கத்திலிருந்து நகலெடுத்த டைஜெஸ்ட் இரு கோப்புகளும் ஒன்றுக்கொன்று பொருந்துகின்றன என்பதை மட்டுமே நிரூபிக்கிறது. இது நிலைத்தன்மைச் சரிபார்ப்பு, அடையாளச் சரிபார்ப்பு அல்ல, மேலும் இந்த வடிவமைப்பு பலவீனமடையும் மிக அமைதியான வழி இதுவே.

சேவையகத்தில், டைஜெஸ்ட்டைச் சேர்ப்பது வழக்கமான நிர்வாகி வழியாகச் செல்லும் கட்டமைப்பு மாற்றம், அதைத் தொடர்ந்து மறுஇணைப்பு நடக்கும். புதிய சாதனம் இணைகிறது என்பதையும், டைஜெஸ்ட் நீக்கப்பட்ட சாதனம் இனி இணையவில்லை என்பதையும் உறுதிப்படுத்துங்கள். நேர்மறை நிலையை மட்டும் உள்ளடக்கிய சோதனை அனுமதிப் பட்டியலைச் சரிபார்க்கப்படாமல் விடுகிறது, ஆறு மாதங்களில் நீங்கள் இருக்கப் போவது சரியாக அந்த நிலையில்தான்.

புதுப்பித்தல் விலை உயர்ந்த தருணம்

ஒவ்வொரு சான்றிதழும் காலாவதியாகிறது, திறவுகோலும் பெயர்களும் அப்படியே இருந்தாலும் புதிய சான்றிதழுக்கு புதிய டைஜெஸ்ட் உண்டு. வழங்குநர் கீழ், புதுப்பித்தல் அந்த வழங்குநரை நம்பும் சகாக்களுக்கு வெளிப்படையானது; பின்னிங்கின் கீழ், சான்றிதழைப் பின்னும் ஒவ்வொரு சகாவுக்கும் அது பதிவுசெய்தல் நிகழ்வு.

காலாவதி தேதிக்குப் பிறகு அல்ல, அதற்கு முன் வரிசையைத் திட்டமிடுங்கள். புதிய டைஜெஸ்ட்டை அதைச் சரிபார்க்கும் தரப்புகளுக்கு விநியோகியுங்கள், மாற்றத்தைப் பயன்படுத்துங்கள், அதன் பின்னரே முனையில் சான்றிதழை மாற்றுங்கள். அந்த வரிசை எந்தச் சான்றிதழ் நடப்பில் உள்ளது என்பதில் இரு பக்கங்களும் முரண்படும் சாளரத்தை விட்டுச் செல்லாது. பட்டியலையும் மறுஆய்வின் கீழ் வைத்திருங்கள், ஏனெனில் பின்னப்பட்ட பட்டியல் மாதங்களுக்கு முன் நீக்கப்பட்ட சாதனங்களின் பதிவுகளைச் சேகரிக்கிறது. ஒவ்வொரு பழைய பதிவும் அதன் திறவுகோல் தப்பிப் பிழைத்தால் இன்னும் அங்கீகரிக்கப்படும் அடையாளம், எனவே ஒன்றை நீக்குவது சுத்தம் அல்ல, பாதுகாப்பு நடவடிக்கை.

நம்பிக்கை வரைபடம் முடிவு செய்யாதது

அங்கீகாரம் ஒரு அடுக்கு, பின்னப்பட்ட வரைபடம் முகவரிக் குளம், தள்ளப்பட்ட வழித்தடங்கள், பாதையின் MTU அல்லது ஃபயர்வால் கொள்கை பற்றி எதுவும் கூறாது. அவை தனித்தனி கட்டமைப்பாகவும் தனித்தனி தோல்வி முறைகளாகவும் தொடர்கின்றன. அங்கீகாரம் பெற்று எந்தப் போக்குவரத்தையும் கடத்தாத சுரங்கப்பாதை ஒருபோதும் எழாத ஒன்றிலிருந்து வேறுபட்ட விசாரணை.

வரைபடமும் எல்லையின்றி அளவிடப்படுவதில்லை, மேலும் பெரிய பயன்பாடுகள் வழங்குநர் அடிப்படையிலான PKI யில் முடிவடைகின்றன. அந்த விருப்பம் குறியாக்கம் பற்றியது அல்ல, செயல்பாடு பற்றியது, ஏனெனில் கடற்படை வளரும்போது ஒவ்வொரு சகாவிலும் பட்டியலைத் திருத்துவதை விட ஒரு அதிகாரம் வழியாக அடையாளங்களைச் சேர்ப்பதும் நீக்குவதும் மலிவு. கிளையண்ட் செயலாக்கம் இந்த விருப்பத்தை ஆதரிக்காத இடத்தில், பதில் அந்தக் கிளையண்ட் ஆவணப்படுத்தும் இணக்கமான நம்பிக்கை மாதிரி, அல்லது ஆதரிக்கப்படும் மாற்று. சரிபார்ப்பு எச்சரிக்கையை அடக்குவது அந்த ஆதரவைச் சேர்ப்பதில்லை, வடிவமைப்பின் முழு மதிப்பும் சரிபார்ப்பு இன்னும் நடக்கிறது என்பதே.