மாற்றுவதற்கு முன்: SSH விசை மற்றும் OpenVPN சான்றிதழ்

சான்றிதழ் பிழையுடன் இறக்குமதி தோல்வியடைகிறது, எனவே வெளிப்படையான படி மாற்றமாகத் தெரிகிறது. அந்த உணர்வு மக்களை கோப்பு நீட்டிப்பு மாறும், ஆனால் நிராகரிப்பு அதேபடியே இருக்கும் ஒரு பாதைக்கு அழைத்துச் செல்கிறது. authorized_keys இல் உள்ள ssh-ed25519 வரியும் OpenVPN வாடிக்கையாளர் சான்றிதழும் தனித்தனி அடையாளப் பொருட்கள், வெவ்வேறு வழங்குநர்கள், வெவ்வேறு குறியாக்கங்கள் மற்றும் வெவ்வேறு ரத்து பாதைகளுடன். இந்தச் சரிபார்ப்புகளை வரிசையாகச் செய்தால், மாற்றம் எதற்கும் உதவுமா என்பதை ஒரு நிமிடத்தில் அறிவீர்கள்.

உண்மையில் எந்தப் பொருள் உங்களிடம் உள்ளது?

மக்கள் விசை என அழைக்கும் ஐந்து விஷயங்கள் உள்ளன, அவற்றில் ஒன்று மட்டுமே TLS சுயவிவரம் விரும்புவது. SSH பொது விசை என்பது வகை முன்னொட்டு மற்றும் base64 ஏற்றத்துடன் கூடிய ஒரு வரி உரை. OpenSSH சான்றிதழ் என்பது அந்த விசையுடன் ஒரு கையொப்பம், principals மற்றும் விருப்பங்களைச் சேர்த்தது, இதை ssh-keygen தனது சொந்த சிறிய CA ஆகச் செயல்பட்டு உருவாக்குகிறது. X.509 சான்றிதழ் முற்றிலும் வேறு அமைப்பு, இது பொருள், செல்லுபடியாகும் காலம், நீட்டிப்புகள் மற்றும் சான்றிதழ் அதிகாரத்தின் கையொப்பத்தைக் கொண்டுள்ளது. தனியுரிமை விசை என்பது ரகசியப் பாதி, வழங்கப்பட்ட தொகுப்பு வழக்கமாக ஒரே கோப்பில் சான்றிதழ், அதன் சங்கிலி மற்றும் தனியுரிமை விசை ஆகும்.

முதல் சோதனைக்கு ஒரு கட்டளை மட்டுமே தேவை. openssl ஐ கோப்பை நோக்கி செலுத்தி சான்றிதழின் அமைப்பை பகுப்பாய்வு செய்யச் சொல்லுங்கள்:

openssl x509 -in client.crt -noout -subject -issuer

அது unable-to-load அல்லது PEM பிழையுடன் தோல்வியடைந்தால், நீங்கள் என்ன பெயர் கொடுத்தாலும் அந்தக் கோப்பு X.509 சான்றிதழ் அல்ல. பெயரை மாற்றுவது உள்ளே உள்ள ASN.1 ஐ மீண்டும் எழுதாது, பொது விசை வரியை PEM தலைப்பு உரையில் சுற்றுவதும் அதைச் செய்யாது.

சுயவிவரம் சான்றிதழைக் கேட்கிறதா?

வாடிக்கையாளர் சான்றிதழ்கள் பல அங்கீகார முறைகளில் ஒன்று, மேலும் வேலை செய்யும் பல TLS சுயவிவரங்கள் ஒன்றையும் கேட்பதில்லை. சேவையகம் பயனர்களை செருகுநிரல், பயனர் பெயர் மற்றும் கடவுச்சொல், அல்லது டோக்கன் பின்தளம் மூலம் அங்கீகரிக்க முடியும், அதே நேரத்தில் வாடிக்கையாளர் சேவையகத்தின் அடையாளத்தைச் சரிபார்க்க வேண்டும் என்று கேட்கிறது. சுயவிவரத்தில் வாடிக்கையாளர்-சான்றிதழ் அறிவுறுத்தல் இல்லாவிட்டால், எப்போதும் சான்றிதழ் கேட்கப்படாது, எந்த மாற்றமும் நுழைவாயிலை ஒன்றைக் கேட்கச் செய்யாது.

பழைய நிலையான-விசை கட்டமைப்புகள் மூன்றாவது நிலை. அவை TLS கைக்குலுக்கலுக்கு முந்தையவை மற்றும் முன்கூட்டியே பங்கிடப்பட்ட ரகசியக் கோப்பை எதிர்பார்க்கின்றன, அதனால் அந்தப் புலத்தில் பொது விசையை ஒட்டுவதும் வேலை செய்யாது. அடையாளம் தவறு என்று முடிவெடுக்கும் முன் சுயவிவரம் உண்மையில் என்ன கேட்கிறது என்பதைப் படியுங்கள்.

மீள்குறியாக்கம் என்ன செய்ய முடியும், என்ன செய்ய முடியாது

தனியுரிமை விசைகளுக்கு உண்மையிலேயே சட்டபூர்வமான மாற்று கொள்கலன்கள் உள்ளன. அதே RSA அல்லது EC விசையை பாரம்பரிய PEM ஆக, PKCS#8 ஆக, அல்லது PKCS#12 தொகுப்பின் உள்ளே எழுதலாம், கருவிகள் அவற்றுக்கிடையே மகிழ்ச்சியுடன் மாற்றும். பொது விசைகளுக்கும் இதே கதை: ssh-keygen SSH விசையின் RFC 4716 வடிவத்தை வெளியிட முடியும், OpenSSH தனது சொந்த சான்றிதழ் வடிவத்தையும் புரிந்துகொள்கிறது. அதெல்லாம் பிரதிநிதித்துவம், பிரதிநிதித்துவம் நம்பிக்கை அல்ல.

மாற்றம் செய்ய முடியாதது உங்கள் விசையை ஒருபோதும் பார்த்திராத சான்றிதழ் அதிகாரத்தின் கையொப்பத்தை உருவாக்குவது. சான்றிதழ் என்பது ஒரு குறிப்பிட்ட பொது விசை ஒரு குறிப்பிட்ட நோக்கத்திற்காக ஒரு குறிப்பிட்ட பொருளுக்குச் சொந்தமானது என்ற வழங்குநரின் கூற்று. மீள்குறியாக்கம் விசையின் பைட்டுகளைப் பாதுகாத்து கூற்றை இல்லாது விடுகிறது, எனவே நுழைவாயிலுக்கு தனது நம்பிக்கைக் கிடங்குடன் ஒப்பிட எதுவும் இல்லை.

பெரும்பாலான முயற்சிகள் அமைதியாகத் தோல்வியடையும் படி இதுவே: கோப்பு இப்போது .crt இல் முடிகிறது, வாடிக்கையாளர் அதை புகார் இல்லாமல் படிக்கிறார், கைக்குலுக்கல் இன்னும் துண்டிக்கப்படுகிறது ஏனெனில் எதிர்ப் பக்கம் நம்பகமான வழங்குநர் வரை சங்கிலியை உருவாக்க முடியாது.

சான்றிதழ் அதிகாரம் படத்தில் எங்கு வருகிறது

உண்மையான பதிவு உங்கள் கட்டுப்பாட்டில் உள்ள விசை இணை மற்றும் இயக்குபவர் எதிர்பார்க்கும் பொருளைக் கொண்ட சான்றிதழ் கையொப்பக் கோரிக்கையுடன் தொடங்குகிறது. இயக்குபவர் உரிமையைச் சரிபார்த்து, CA விசையால் கோரிக்கையில் கையொப்பமிட்டு, வழங்கப்பட்ட சான்றிதழை வாடிக்கையாளர் சமர்ப்பிக்க வேண்டிய எந்த இடைநிலை சங்கிலியுடன் திருப்பித் தருகிறார். பின்னர் வாடிக்கையாளருக்கு அதில் கையொப்பமிட்ட CA சான்றிதழ் தேவை, ஏனெனில் தான் பேசும் சேவையகம் அதே பயன்பாட்டுக்குச் சொந்தமானது என்பதை உறுதிப்படுத்த அது அனுமதிக்கிறது.

அந்தக் கடைசி கோப்பை மறப்பது எளிது, மாற்றுவது சாத்தியமில்லை. CA இன் கையொப்ப விசை ஒருபோதும் வாடிக்கையாளர் கட்டமைப்பில் இருப்பதில்லை, எந்த உள்ளூர் மாற்றமும் நீங்கள் பெற்றிருக்க வேண்டிய சங்கிலியை உருவாக்காது.

SSH விசையை மீண்டும் பயன்படுத்தும் செலவு

ஒரு மாற்றம் உண்மையில் ஏற்றுக்கொள்ளக்கூடிய ஒன்றை உருவாக்கியது என வைத்துக்கொள்ளுங்கள். SSH அணுகல் மற்றும் VPN அங்கீகாரத்திற்கு ஒரே விசை இணையை மீண்டும் பயன்படுத்துவது இன்னும் இரண்டு சுயாதீன பாதுகாப்பு முடிவுகளை இணைக்கிறது. authorized_keys இல் இருந்து ஒரு வரியை நீக்குவது SSH உள்நுழைவுகளை நிறுத்துகிறது, அதே பொது விசைக்கு VPN CA ஏற்கனவே வழங்கிய சான்றிதழுக்கு எதுவும் செய்யாது. VPN பக்கம் அதன் சொந்த முறையால் ரத்து செய்யப்படுகிறது, அதாவது சான்றிதழ் ரத்துப் பட்டியல் அல்லது இயக்குபவரின் பதிவேடு.

எனவே சரிபார்ப்புப் பட்டியல் எந்த தந்திரத்தாலும் அல்ல, நிறுத்தும் நிபந்தனையால் முடிகிறது. openssl கோப்பை சான்றிதழாக பகுப்பாய்வு செய்யாவிட்டால், மாற்றத்தை நிறுத்தி உங்களிடம் என்ன உள்ளது என்பதை விவரியுங்கள்: SSH விசை, SSH சான்றிதழ், X.509 சான்றிதழ், தனியுரிமை விசை அல்லது தொகுப்பு. சுயவிவரம் வாடிக்கையாளர் சான்றிதழைக் கேட்காவிட்டால், நிறுத்தி சேவையகம் எந்த அங்கீகார முறையை எதிர்பார்க்கிறது என்று கேளுங்கள். இரு பதில்களும் X.509 ஐக் காட்டும்போது மட்டுமே பதிவு அடுத்த படியாகிறது, முதல் வாக்கியத்தில் சரியான பெயர்ச்சொல் இருந்தால் அந்த உரையாடல் மிக வேகமாக நடக்கும்.