VPN-க்கு சுய-கையொப்பம் vs பொது CA: உண்மையில் என்ன மாறுகிறது

நீங்கள் VPN அமைப்பின் சான்றிதழ் பக்கத்தை அடைகிறீர்கள், இலவச சுய-கையொப்பமிட்ட விருப்பத்தை கட்டண பொது CA பக்கத்தில் காண்கிறீர்கள், கேள்வி பாதுகாப்புத் தேர்வாகத் தெரிகிறது. உண்மையில் இது பார்வையாளர் தேர்வு. இரண்டு விருப்பங்களும் சுரங்கத்தை ஒரே அடிப்படைக் கூறுகளால் குறியாக்கம் செய்கின்றன, தனிப்பட்ட விசை கசிந்தால் இரண்டும் பயனற்றதாகிவிடும். அவற்றைப் பிரிப்பது சேவையகத்தின் அடையாளம் குறித்த கூற்றை யார் செய்கிறார்கள், அந்தக் கூற்றைச் சரிபார்க்கும் நிலையில் யார் இருக்கிறார்கள் என்பதே.

சான்றிதழ் குழப்பப்படும் இரண்டு வேலைகளைச் செய்கிறது

சான்றிதழ் ஒரு பொது விசையை ஒரு பெயருடன் இணைக்கிறது, விசை குறியாக்கம் மற்றும் கையொப்ப வேலையைச் செய்கிறது. சான்றிதழில் உள்ள கையொப்பம் தனி அறிக்கை: பெயர் இந்த விசை உரிமையாளருக்குச் சொந்தமானது என்று ஏதோ ஒரு அதிகாரம் சரிபார்த்துள்ளது. சுய-கையொப்பமிட்ட சான்றிதழ் அந்த அறிக்கையைத் தன்னைப் பற்றியே விடுக்கிறது, இது எந்தவொரு மூன்றாம் தரப்பு கூற்றும் அல்ல.

பொது வலைத்தளங்களுக்கு மூன்றாம் தரப்பு பதிப்பு தேவை, ஏனெனில் பார்வையாளர்கள் முன் உறவின்றி வந்து உலாவியின் நம்பிக்கைச் சேமிப்பகத்தை நம்புகிறார்கள். VPN கிளையண்ட் அந்நியர் அல்ல. நீங்கள் அதற்கு CA சான்றிதழைக் கொடுக்கிறீர்கள், அல்லது அது நிறுவும் சுயவிவரத்தின் உள்ளே சேவையகச் சான்றிதழைப் பின்னுகிறீர்கள், எனவே சரிபார்ப்பு நீங்கள் தேர்ந்தெடுத்த அதிகாரத்திற்கு எதிராகவே நடக்கிறது. அந்தச் சரிபார்ப்பு அர்த்தமுள்ளதாக இருக்க எந்த வணிக CAவும் ஈடுபட வேண்டியதில்லை.

விளைந்த அமர்வின் வலிமை விசையின் அளவு மற்றும் குறியாக்கத் தொகுப்பிலிருந்து வருகிறது, கையொப்பமிடுபவரிடமிருந்து அல்ல. அதனால்தான் சுய-கையொப்பமிட்ட சான்றிதழை "குறைவாகக் குறியாக்கப்பட்டது" என்று அழைப்பது வெறுமனே தவறு; அது குறைவான பரந்த உத்தரவாதத்தைக் கொண்டுள்ளது, அது வேறு பண்பு.

பொது CA தனது கட்டணத்தை எங்கே சம்பாதிக்கிறது

மிகத் தெளிவான வழக்கு நிர்வாகப் பக்கம். சக ஊழியர்கள், ஒப்பந்தக்காரர்கள் அல்லது தயாராக உள்ள சுயவிவரம் இல்லாத யாரேனும் உலாவி எச்சரிக்கையின்றி VPN சேவையகத்தின் வலை இடைமுகத்தைத் திறக்க வேண்டும் என்றால், பொதுவில் நம்பகமான சான்றிதழ் அந்த உராய்வை நீக்குகிறது. உலாவி ஏற்கனவே கையொப்பமிடுபவரை நம்புகிறது, எனவே இறக்குமதி செய்ய ஒன்றுமில்லை, விளக்கவும் ஒன்றுமில்லை.

அந்த வசதிக்கு வாங்கும் முன் பெயரிட வேண்டிய செலவுகள் உள்ளன. புதுப்பித்தல் தானியங்கியாக இருக்க வேண்டும், இல்லையேல் தளம் ஒரு அட்டவணையின்படி உடையும், பொது சான்றிதழ்கள் சான்றிதழ் வெளிப்படைத்தன்மைப் பதிவுகளில் புரவலன் பெயரை வெளிப்படுத்துகின்றன, மேலும் வெளியீட்டு வீத வரம்புகள் மிக ஆர்வத்துடன் மீண்டும் முயலும் ஸ்கிரிப்டைத் தண்டிக்கின்றன. இவை எதுவும் பொது CAவைத் தவிர்ப்பதற்கான காரணம் அல்ல, ஆனால் இது தனியார் CA வேறு இடத்திற்கு மாற்றும் செயல்பாட்டு வேலை.

பொது சான்றிதழ் செய்யாதது உங்கள் பயனர்களை அங்கீகரிப்பதாகும். கிளையண்ட் அடையாளம் தனி முடிவு, கிளையண்ட் சான்றிதழ்கள், கடவுச்சொற்கள் அல்லது இரண்டாம் காரணியால் எடுக்கப்படுகிறது, சேவையகத்தில் கையொப்பமிடும் CA அதனுடன் யார் இணையலாம் என்பது பற்றி எதுவும் கூறாது.

தனியார் CA VPN-க்கு எங்கே பொருந்துகிறது

அறியப்பட்ட கிளையண்ட் தொகுப்பைக் கொண்ட தனியார் VPN-க்கு உங்கள் சொந்த CAவை இயக்குவது வழக்கமான தேர்வு. CAவை ஒருமுறை உருவாக்குகிறீர்கள், கிளையண்ட்கள் பயன்படுத்தும் பெயரில் சேவையகச் சான்றிதழில் கையொப்பமிடுகிறீர்கள், ஒவ்வொரு சுயவிவரத்தின் உள்ளேயும் CA சான்றிதழை விநியோகிக்கிறீர்கள். பின்னர் ஒவ்வொரு கிளையண்டும் உங்கள் அதிகாரத்திற்கு எதிராக சேவையகத்தைச் சரிபார்க்கிறது, வெளி எந்தத் தரப்பும் புரவலன் பெயரை அறியாது.

செலவுகள் உண்மையானவை ஆனால் வரம்புடையவை. யாரேனும் நிர்வாகப் பக்கத்தை நேரடியாகத் திறக்கும்போது உலாவிகள் எச்சரிக்கும், ஏனெனில் உலாவிக்கு உங்கள் CAவை நம்ப எந்தக் காரணமும் இல்லை. சுயவிவர விநியோகம் ஆன்போர்டிங்கின் பகுதியாகிறது, CAவைச் சுழற்றுவது ஒவ்வொரு கிளையண்டையும் தொடுவதாகும். இவை பத்து அல்லது ஐம்பது அறியப்பட்ட பயனர்களைக் கொண்ட சேவைக்கு ஏற்ற விலைகள், ஆயிரக்கணக்கானோர் கொண்ட பொது இறுதிப் புள்ளிக்கு வேதனையானவை.

ஒரு நிபந்தனை முழு ஏற்பாட்டையும் செல்லுபடியாக்குகிறது: சரிபார்ப்பு நடக்க வேண்டும். சான்றிதழ் பிழைகளைப் புறக்கணிக்க அமைக்கப்பட்ட கிளையண்ட் எந்தச் சான்றிதழையும் வழங்கும் எந்தச் சேவையகத்தையும் ஏற்றுக்கொள்கிறது, எனவே குறியாக்கம் நீடிக்கும்போது அடையாள உத்தரவாதம் மறைந்துவிடுகிறது. அந்த அமைப்பே "சுய-கையொப்பம் பாதுகாப்பற்றது" என்ற பெரும்பாலான கதைகளில் உண்மையான பலவீனம்.

CAவின் தனிப்பட்ட விசை பின்னர் நீங்கள் என்ன செய்யலாம் என்பதைத் தீர்மானிக்கிறது

ஆச்சரியம் பொதுவாக மாதங்களுக்குப் பிறகு, ஒரு சாதனத்தைச் சேர்க்க விரும்பும்போது வருகிறது. கிளையண்ட் சான்றிதழை வழங்க CAவின் தனிப்பட்ட விசை தேவை, ரத்து பட்டியலை உருவாக்கவும் அதுவே. சான்றிதழ் மற்றும் விசைக் கோப்புகள் உள்ள ஆனால் CA விசை இல்லாத சேவையகத்தை நீங்கள் மரபுரிமையாகப் பெற்றால், புதிதாக எதையும் கையொப்பமிட முடியாது. உங்கள் தேர்வுகள் PKIவை மீண்டும் கட்டி ஒவ்வொரு கிளையண்டிற்கும் புதிய CA சான்றிதழை வழங்குவது, அல்லது கடவுச்சொல் அங்கீகாரத்திற்கு மாறுவது; அது வேறு பாதுகாப்பு மாதிரி மற்றும் இழந்ததைத் திரும்பத் தராது.

அதே பிரதேசத்தில் இரண்டு சிறிய பொறிகள் வாழ்கின்றன. easy-rsa ஸ்கிரிப்டுகள் அவற்றைக் கொண்ட கோப்பகத்தில் நீங்கள் நிற்கிறீர்கள் என்று கருதுகின்றன, எனவே காணாத கோப்பு பிழை பொதுவாக தவறான இருப்பிடத்தைக் குறிக்கிறது, சேதமடைந்த நிறுவலை அல்ல. சான்றிதழ்கள் மட்டுமே கொண்ட வடிவமைப்பு முற்றிலும் சட்டப்பூர்வமானது: முன்-பகிரப்பட்ட விசை இல்லாமல் கிளையண்ட் சான்றிதழ்களைக் கோரலாம், ஒவ்வொரு கிளையண்டிடமும் ஒன்று இருந்தால் சேவையகம் சங்கிலியைச் சரிபார்த்தால்.

முழு குழுவிற்கும் ஒரு பகிரப்பட்ட கிளையண்ட் சான்றிதழுக்குப் பதிலாக ஒவ்வொரு சாதனத்திற்கும் ஒரு சான்றிதழை வழங்குங்கள். அப்போது தொலைந்த மடிக்கணினி அனைவருக்கும் மீண்டும் வழங்குவதற்குப் பதிலாக ஒரே ரத்தில் மட்டும் செலவாகும்.

நீங்கள் மரபுரிமையாகப் பெற்றதைச் சரிபார்க்கவும்

எந்த மாற்றத்தையும் திட்டமிடும் முன், உங்களிடம் ஏற்கனவே உள்ள சான்றிதழைப் படியுங்கள்:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

வழங்குநர் பொருளுக்குச் சமமாக இருந்தால், சான்றிதழ் சுய-கையொப்பமிட்டது, அது வடிவமைப்புத் தேர்வு, குறைபாடு அல்ல. தேதிகள் புதுப்பித்தல் எப்போது யாருக்கோ பிரச்சினையாகும் என்பதைச் சொல்கின்றன, நீங்கள் அனுப்பத் திட்டமிட்ட CAவுக்கு எதிரான வெற்றிகரமான சரிபார்ப்பு ஒரு கிளையண்ட் கூட முயல்வதற்கு முன் சங்கிலி இயங்குவதை உறுதிப்படுத்துகிறது.

பின்னர் பார்வையாளர்கள் மற்றும் விநியோகத்தின்படி தேர்ந்தெடுக்கவும்: அறியப்படாத உலாவிகள் நிர்வாகப் பக்கத்தை நம்ப வேண்டியிருக்கும்போது பொது CA, ஒவ்வொரு கிளையண்டும் நீங்கள் கட்டுப்படுத்தும் சுயவிவரத்தைப் பெறும்போது தனியார் CA. இரண்டு பதில்களில் ஒன்று மற்றதை விட அதிகம் குறியாக்கப்படவில்லை.