தனிப்பட்ட CA காப்புப்பிரதி: மறையாக்கப்பட்ட காப்பகம் அல்லது HSM விசை காப்புப்பிரதி
மறையாக்கப்பட்ட காப்பகம் அல்லது HSM-ஆல் சுற்றப்பட்ட விசை: ஒவ்வொரு VPN CA காப்புப்பிரதி மாதிரியும் எப்படி மீட்டெடுக்கப்படுகிறது, அதில் என்ன இருக்க வேண்டும், எந்தத் தோல்வியை நீங்கள் உண்மையில் தாண்டி வாழலாம்.
இதில் பெரும்பகுதியைத் தீர்மானிக்கும் கேள்வி நீங்கள் காப்பகத்தை எப்படி மறையாக்குகிறீர்கள் என்பது அல்ல. உங்கள் CA தனிப்பட்ட விசை அதன் கொள்கலனை விட்டு வெளியேற முடியுமா என்பதே. விசை ஒரு கோப்பாக இருந்தால், முழு CA அடைவையும் ஒரு மறையாக்கப்பட்ட பிளாப்பில் நகலெடுத்து நிமிடங்களில் முடிக்கலாம். அது HSM-இலோ விசையைப் பிரித்தெடுக்க முடியாது எனக் குறிக்கும் டோக்கனிலோ வாழ்ந்தால், அந்த நகல் இல்லை, உங்கள் திட்டம் விற்பனையாளரின் சுற்றி-மீட்டெடுக்கும் நடைமுறையைப் பற்றிய திட்டமாக மாறும். இரு மாதிரிகளும் வேலை செய்கின்றன, வெவ்வேறாகத் தோல்வியடைகின்றன, நீங்கள் தாண்டி வாழக்கூடிய தோல்வியே வடிவமைக்கத் தகுந்தது.
இரு காப்புப்பிரதி மாதிரிகளும் பிரியும் இடம்
மாதிரி A அடைவு நகல். OpenSSL பாணி CA ஒரு வேலை அடைவு, ஒரே சான்றிதழ் அல்ல: ca.key அல்லது cakey.pem, ca.crt, வெளியீட்டுத் தரவுத்தளம், serial மற்றும் crlnumber கணக்கிகள், மற்றும் openssl.cnf. அந்த அடைவை சமச்சீர் மறையாக்கத்தால் முத்திரையிடுங்கள், முடிவை இரண்டாம் ஊடகத்திற்கு நகர்த்துங்கள், மீட்டெடுப்பு என்பது பிரித்து, சரிபார்த்து, கையொப்பமிடுவது. வெளியீட்டாளருக்குத் தேவையான அனைத்தும் ஒன்றாகப் பயணிக்கின்றன, யாரும் எழுதியதாக நினைவில் இல்லாத வாரக்கணக்கான ரத்துச் செயல் வரலாறு உட்பட.
மாதிரி B விசைத் தடுப்பு. விசை PKCS#11 தொகுதியின் உள்ளே உருவாக்கப்பட்டு பிரித்தெடுக்க முடியாதது எனக் குறிக்கப்படுகிறது; தொகுதி அதைக் காப்புப்பிரதிக்காகச் சுற்றலாம், ஆனால் எந்தச் செயல்முறையும் ஒருபோதும் மூல பைட்டுகளைப் படிக்காது. உங்கள் காப்புப்பிரதி அப்போது சரியான வரிசையில் மீட்டெடுக்க வேண்டிய இரு பொருட்கள்: அந்தத் தொகுதிக் குடும்பம் மட்டுமே திறக்கக்கூடிய சுற்றப்பட்ட விசைப் பிளாப், மேலும் தரவுத்தளம், உள்ளமைவு, சான்றிதழ்களின் சாதாரண நகல்.
| Attribute | Encrypted archive | HSM key backup |
|---|---|---|
| What you store | one encrypted file | wrapped blob plus CA records |
| Who can restore it | anyone holding the passphrase | holder of the module and the blob, often vendor support |
| If a copy leaks | attacker with the passphrase becomes the CA | blob is inert without the matching module |
| What usually breaks it | forgotten passphrase, one damaged copy | replacement module rejects the blob, contract gap |
ஒப்பீடு ஒருபோதும் எந்த மாதிரி கருத்தியலாக வலிமையானது என்பது பற்றியது அல்ல. உங்கள் குழு இரவு 2 மணிக்கு உண்மையில் விழித்திருப்பவர்களுடன் எதை மீட்டெடுக்க முடியும் என்பது பற்றியது. யாரும் மறையாக்கம் நீக்க முடியாத காப்பகமும் யாரும் சோதிக்காத HSM பிளாப்பும் சமமாகப் பயனற்றவை. வேறுபாடு என்னவென்றால், காப்பகத்தின் தோல்வி கடவுச்சொல் மேலாளரில் தெரிகிறது, HSM-இன் தோல்வி ஆதரவு ஒப்பந்தத்தில் மறைகிறது.
ஒவ்வொரு CA காப்புப்பிரதியிலும் என்ன இருக்க வேண்டும்
இரு மாதிரிகளுக்கும் ஒரே பதிவுத் தொகுப்பு தேவை. OpenSSL CA-இல் அந்தக் கோப்புகள் index.txt, ஒவ்வொரு வெளியிடப்பட்ட சான்றிதழுக்கும் ஒரு வரி நிலை, காலாவதி, serial, பொருள் ஆகியவற்றை உள்ளடக்கி, பின்னர் index.txt.attr, அடுத்து வெளியிட வேண்டிய serial-ஐ வைத்திருக்கும் serial, அடுத்த CRL எண்ணை வைத்திருக்கும் crlnumber, மற்றும் உங்கள் CA உண்மையில் இயங்கும் dir, policy, default_days கொண்ட openssl.cnf. openssl-ca கையேடு அந்தக் கணக்கிகள் ஒவ்வொன்றும் எதைக் கட்டுப்படுத்துகிறது என்பதை விளக்குகிறது. easy-rsa அதே தரவை pki/ கீழ் வைத்திருக்கிறது, vars கோப்பு சான்றிதழின் புலங்களைத் தீர்மானிக்கிறது.
விசையும் சான்றிதழும் மீண்டும் கட்டமைக்க முடியாத பகுதிகள். தரவுத்தளம் நினைவிலிருந்து மறுகட்டமைக்க முடியாத பகுதி. index.txt-ஐத் தவிர்த்தாலும் புதிய சான்றிதழ்களில் கையொப்பமிட முடியும், அதுவே சரியான பொறி: ஒரு வாடிக்கையாளர் சான்றிதழ் ரத்து செய்யப்பட்டதா என்று முதல் முறையாகக் கேட்கும்போது அது இல்லை என்பதை அறிகிறீர்கள். CA-இன் கைரேகையைக் காப்புப்பிரதிக்கு வெளியே பதிவு செய்யுங்கள், மீட்டெடுப்பு நீங்கள் நம்பும் மதிப்புடன் ஒப்பிடப்பட வேண்டும், நீங்கள் இப்போது மீட்டெடுத்த கோப்புடன் அல்ல.
openssl x509 -in ca.crt -noout -fingerprint -sha256
tar czf ca-state.tar.gz ca.crt ca.key index.txt* serial* crlnumber* openssl.cnf
openssl enc -aes-256-cbc -pbkdf2 -iter 200000 -salt -in ca-state.tar.gz -out ca-state.tar.gz.enc
openssl ca -config openssl.cnf -gencrl -out crl.pemவெளியீட்டாளரைக் கிளைப்படுத்தாத மீட்டெடுப்புச் சோதனைகள்
ஒரே பொருளும் ஒரே விசையும் கொண்ட இரு உயிருள்ள CA-கள் அசலை நம்பும் ஒவ்வொரு வாடிக்கையாளருக்கும் ஒரே மாதிரி தெரிகின்றன. ஒரே எண் ஆனால் வேறு உள்ளடக்கம் கொண்ட இரு CRL-கள் வாடிக்கையாளர்கள் நீங்கள் ரத்து செய்த சான்றிதழை அமைதியாக ஏற்கும் வழி. உங்கள் வாடிக்கையாளர்களுக்கு வழி இல்லாத ஹோஸ்ட்டில் அல்லது ஒரு முறை பயன்படுத்தும் VM-இல் மீட்டெடுப்பை இயக்குங்கள், சோதனை உருவாக்கும் CRL-ஐ ஒருபோதும் வெளியிட வேண்டாம்.
காப்பகம் திறக்கிறது என்பதை மட்டும் நிரூபிக்கும் சோதனை வெளியீட்டைப் பற்றி எதையும் நிரூபிக்காது. முக்கியமான வரிசை: மீட்டெடுத்த ca.crt-இன் கைரேகையை நீங்கள் பதிவு செய்த மதிப்புடன் ஒப்பிடுங்கள், serial உங்கள் கடைசி வெளியிட்ட சான்றிதழ் குறிக்கும் மதிப்புடன் பொருந்துகிறதா என உறுதிப்படுத்துங்கள், ஒரு முறை பயன்படுத்தும் CN-க்கு ஒரு சான்றிதழை வெளியிடுங்கள், index.txt ஒரு வரி பெறுவதைப் பாருங்கள், பின்னர் அந்தச் சான்றிதழை ரத்து செய்து CRL-ஐ மீண்டும் உருவாக்குங்கள்.
openssl verify -CAfile ca.crt -CRLfile crl.pem -crl_check client.crt
openssl crl -in crl.pem -noout -lastupdate -nextupdateHSM-உடன் அதே சோதனை தொகுதி வழியாகச் செல்கிறது. பிளாப்பை மாற்று சாதனத்தில் திறங்கள், தொகுதி தெரிவிக்கும் CA சான்றிதழ் உங்கள் பதிவு செய்த கைரேகையுடன் பொருந்துகிறதா என உறுதிப்படுத்துங்கள், பின்னரே கையொப்பமிட அனுமதியுங்கள். தொகுதிக்கு அதன் சொந்தப் பொருள் கிடங்கு இருந்தால், சுற்றுதல் விசைப் பொருளையும் அதன் லேபிளையும் உள்ளடக்க வேண்டும், ஏனெனில் வேறு லேபிளின் கீழ் விசையை மீட்டெடுப்பது அதை நோக்கும் உள்ளமைவை உடைக்கும்.
தேர்வைத் தீர்மானிக்கும் தோல்வி முறைகள்
ஐந்து தோல்விகள் பெரும்பாலான உண்மையான இழப்புகளை விளக்குகின்றன. ரகசியத்தின் சுயாதீன நகல் இல்லாமல் மறந்த காப்பகக் கடவுச்சொல் காப்பகத்தைச் செங்கல்லாக்கும். ஒரு வட்டில் ஒரே நகல் அந்த வட்டுடன் இறக்கும், செக்சம் மறையாக்கம் இன்னும் வேலை செய்கிறதா என்று ஒருபோதும் சொல்லாது. காப்புப்பிரதி தேதிக்குப் பின் ரத்து செய்யப்பட்ட சான்றிதழ்கள் மீட்டெடுப்புக்குப் பின் மீண்டும் செல்லுபடியாகத் தெரிகின்றன, எனவே உங்கள் காப்புப்பிரதி இடைவெளியே உங்கள் ரத்துச் செயலின் குருட்டுப் புள்ளி. பழைய serial கணக்கியை மீட்டெடுப்பது serial எண்களை மீண்டும் பயன்படுத்தி serial-ஐ அடிப்படையாகக் கொண்ட தற்காலிகச் சேமிப்புகளையும் CRL தேடல்களையும் குழப்புகிறது. சுற்றப்பட்ட பிளாப்பை மறுக்கும் மாற்று HSM வன்பொருள் மாற்றத்தை முழு மறுவெளியீடாக மாற்றுகிறது.
மாதிரி A முதல் நான்கை மோசமாக ஆனால் தெரியும் வகையில் கையாள்கிறது. மாதிரி B தொகுதி அல்லது விற்பனையாளர் செயல்முறை தோல்வியடையும் வரை அவற்றை நன்றாகக் கையாள்கிறது. உங்கள் விசைகள் ஏற்றுமதி செய்யக்கூடியவை மற்றும் குழு சிறியது எனில், மறையாக்கப்பட்ட காப்பகமே நேர்மையான தேர்வு, இரு ஊடகங்கள் மற்றும் எழுத்துப்பூர்வ கடவுச்சொல் நடைமுறையால் தாங்கப்பட்டது. விசை பிரித்தெடுக்க முடியாதது எனில் உங்களுக்கு எந்தத் தேர்வும் இல்லை, வேலை அது தேவைப்படும் நாளுக்கு முன் விற்பனையாளரின் மீட்டெடுப்புப் பாதையை நிரூபிப்பதற்கு நகர்கிறது.
மாதிரியைத் தேர்ந்தெடுத்து திட்டமிடுதல்
மூன்று நிபந்தனைகள் முடிவைத் தீர்க்கின்றன. விற்பனையாளர் செயல்முறையின்றி விசையை ஏற்றுமதி செய்ய முடியுமா? உங்களிடம் இன்னும் இல்லாத வன்பொருளில் மீட்டெடுப்பு இறங்க வேண்டுமா? ஆதரவுடன் வாதிடும்போது வெளியீடு எவ்வளவு நேரம் நிற்க முடியும்? அந்த மூன்றுக்கும் பதிலளியுங்கள், மாதிரி தீர்மானிக்கப்படும்; அதற்குப் பின் எல்லாம் திட்டமிடல்.
ஒவ்வொரு கையொப்ப விழாவுக்குப் பின்னும் உள்ளமைவு மாற்றத்திற்கு முன்னும் காப்புப்பிரதி எடுங்கள், ஏனெனில் உள்ளமைவு நிலையின் பகுதி. வெவ்வேறு இடங்களில் வெவ்வேறு ஊடகங்களில் இரு நகல்களை வைத்திருங்கள், ஒன்று ஆஃப்லைன், மறையாக்க நீக்க ரகசியத்தை நகல்களிலிருந்து வேறு நம்பிக்கைக் களத்தில் வைத்திருங்கள். கடைசி வெற்றிகரமான மீட்டெடுப்பின் தேதியைக் காப்புப்பிரதிப் பதிவில் எழுதுங்கள். ஒருபோதும் மீட்டெடுக்கப்படாத காப்புப்பிரதி ஒரு கருதுகோள், கட்டுப்பாடு அல்ல.
டிக்கெட்டை மூடும் முன் இந்த ஐந்து புள்ளிகளை உறுதிப்படுத்துங்கள்:
- ca.crt-இன் கைரேகைக் காப்புப்பிரதிக்கு வெளியே எங்காவது பதிவு செய்யப்பட்டுள்ளது.
- index.txt, serial, crlnumber, openssl.cnf அனைத்தும் காப்பகம் அல்லது பிளாப் தொகுப்புக்குள் உள்ளன.
- கடவுச்சொல் அல்லது சுற்றப்பட்ட விசையின் பாதுகாப்பு ஆவணப்படுத்தப்பட்டு காப்பக உரிமையாளர் அல்லாத வேறு ஒருவரிடம் உள்ளது.
- தனிமைப்படுத்தப்பட்ட ஹோஸ்ட்டில் ஒரு வெளியீடு மற்றும் ஒரு ரத்துடன் மீட்டெடுப்பு சோதிக்கப்பட்டுள்ளது.
- உங்கள் காப்புப்பிரதி இடைவெளி குறிக்கும் ரத்து இடைவெளி எழுத்துப்பூர்வமாக ஏற்கப்பட்டுள்ளது அல்லது சுருக்கப்பட்டுள்ளது.