ஒவ்வொரு VPN கிளையண்டுக்கும் ca.key நகலெடுத்தால் CA ஏன் உடையும்
கிளையண்ட் CA-வின் பொது சான்றிதழைச் சரிபார்க்கிறது; கையெழுத்திடும் விசை அதற்கு ஒருபோதும் தேவையில்லை. ca.key-ஐ ஒவ்வொரு சாதனத்துக்கும் நகலெடுப்பது ஒரு நகலை எடுக்கும் யாருக்கும் வழங்கும் அதிகாரத்தைக் கொடுக்கிறது.
அமைப்பு வழிமுறைகளில் எங்கோ, எந்தக் கோப்புகள் அங்கு இருக்க வேண்டும் என்பதை முடிவு செய்வதை விட எளிதாக இருந்ததால் ஒரு கோப்பகம் முழுவதுமாக ஒவ்வொரு மடிக்கணினிக்கும் நகலெடுக்கப்படுகிறது. அந்தக் கோப்பகத்தில் ca.key உள்ளது, அது இரண்டாவது சாதனத்தை அடையும் தருணத்தில் சான்றிதழ் அதிகாரசபை அதிகாரசபையாக இருக்காது. இப்போது எந்த வைத்திருப்பவரும் மீதமுள்ள வலையமைப்பு நம்பும் அடையாளங்களை வழங்கலாம்.
இந்தக் குழப்பத்தை ஒரு முறை தெளிவுபடுத்துவது மதிப்புள்ளது, ஏனெனில் இரு கோப்புகளும் தோற்றத்தில் ஒத்தவை ஆனால் செயலில் எதிரானவை.
சரிபார்ப்புப் பொருள் மற்றும் கையொப்பப் பொருள்
எதிர்ப் பக்கம் வழங்கும் சான்றிதழை அந்த அதிகாரசபையே கையெழுத்திட்டதா என்பதைச் சரிபார்க்க கிளையண்டுக்கு CA-வின் பொதுச் சான்றிதழ் தேவை. இது சரிபார்ப்புப் பணி, இதற்கு எந்த ரகசியமும் தேவையில்லை. எதிர்ப் பக்கத்தின் சான்றிதழில் கையெழுத்திடுவது வேறு பணி, அதை CA-ஐ இயக்குபவர் ஒரு முறை, தன் பாதுகாக்கப்பட்ட சேமிப்பகத்தை விட்டு வெளியேறாத தனிப்பட்ட விசையால் செய்கிறார். இந்த இரு பணிகளையும் தனித்தனியாக வைத்திருப்பதே இரு கோப்புகளை அனுப்புவதன் முழு நோக்கம்.
எனவே ca.crt சுயவிவரத்துக்கு உரியது, ca.key அதற்கு அருகில் எங்கும் உரியது அல்ல. கோப்புப் பெயர்கள் ஒரு மரபு, உத்தரவாதம் அல்ல, எனவே வகையைப் பெயரிலிருந்து ஊகிக்காமல் பரிசோதிக்க வேண்டும்.
இடைநிலை CA அல்லது இணையவழி வழங்கல் சேவை கொண்ட கட்டமைப்பு இதற்கு விதிவிலக்கல்ல. பெரிய அளவில் சாதனச் சான்றிதழ்களை வழங்கிக்கொண்டே கையெழுத்திடும் திறனை முனைப்புள்ளிகளிலிருந்து விலக்கி வைப்பதற்கான நிலையான வழி இதுவே.
கிளையண்ட் தன் சொந்த விசையால் எதை நிரூபிக்க வேண்டும்
ஒவ்வொரு சாதனமும் தனக்கான விசை இணையையும் சொந்தச் சான்றிதழையும் பெறுகிறது, அதில் CA ஒரு முறை கையெழுத்திடுகிறது. கிளையண்ட் அந்தச் சான்றிதழை வழங்கி, பொருந்தும் தனிப்பட்ட விசை தன்னிடம் இருப்பதை நிரூபிக்கிறது, சேவையகம் அதை ஏற்கலாமா என முடிவு செய்கிறது. மடிக்கணினி தொலைந்தால் ரத்து செய்யப்படும் அடையாளம் இதுவே.
திருட்டுக்குப் பிறகு இந்த வேறுபாடு மிக முக்கியம். ஒவ்வொரு சாதனத்துக்கும் தனி அடையாளங்கள் இருந்தால், வெளிப்பட்ட ஒரு கிளையண்ட் ரத்து அல்லது எதிர்ப் பக்கத்தை நீக்குவதன் மூலம் அகற்றப்படும், ஏனைய குழு தொடர்ந்து செயல்படும்.
கசிந்த அதிகாரசபை விசையை இப்படிக் கையாள முடியாது. அது இதுவரை கையெழுத்திட்ட அல்லது இடக்கூடிய ஒவ்வொரு சான்றிதழும் சந்தேகத்துக்குரியதாகும், எனவே பதில் ஒரு ரத்து அல்ல, நம்பிக்கையை மாற்றியமைப்பதே. இது ஒரு திட்டம், டிக்கெட் அல்ல.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
ஒரு கோப்பை எங்கும் நகலெடுப்பதற்கு முன் படிக்கவும்
இரு கட்டளைகள் எந்த ரகசியத்தையும் அச்சிடாமல் உங்கள் கையில் எந்த வகைப் பொருள் இருக்கிறது என்பதைச் சொல்கின்றன. முதலாவது சான்றிதழில் உள்ள பொருள் மற்றும் CA கொடியைக் கூறுகிறது; இரண்டாவது விசையைச் சரிபார்த்து அதன் வகையைத் தெரிவிக்கிறது. நீங்கள் விநியோகிக்கப் போகும் தொகுப்பில் உள்ள கோப்புகளில் இரண்டையும் இயக்கவும். தனிப்பட்ட விசையாகச் சரிபார்க்கப்படும் எதுவும் கிளையண்ட் கோப்பகத்துக்கு உரியது அல்ல.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
கிளையண்ட் தொகுப்பில் இருக்கும் கோப்பில் இரண்டாவது கட்டளை வெற்றியடைந்தால், நிறுத்தி அந்தத் தொகுப்பைப் பாதிக்கப்பட்டதாகக் கருதுங்கள். விசை செல்லுபடியானது என்று சொல்லும் வெளியீடு அது உள்ளது என்றும் சொல்கிறது, அதன் இருப்பே முழுப் பிரச்சினை.
எதிர்த் திசையையும் கவனியுங்கள்: கிளையண்ட் சுயவிவரத்தில் அந்தக் கிளையண்டின் சொந்தத் தனிப்பட்ட விசை சட்டப்படி இருக்கும். கிடைக்கும் ஒவ்வொரு விசையையும் அழிப்பது எதையும் மேம்படுத்தாமல் இணைப்பை முறிக்கும், எனவே அகற்றும் முன் பொருளை அடையாளம் காண வேண்டும்.
ஏற்கனவே விநியோகித்த விசையைக் கட்டுப்படுத்துதல்
உள்ளூர் நகலை அழிப்பது வெளிப்பாட்டை மீட்டெடுக்கும் என்று நினைக்க வேண்டாம். கோப்பு இருந்த யாரும் அதை நகலெடுத்திருக்கலாம், பாதுகாப்பான ஊகம் அவ்வாறு செய்தார் என்பதே. இயக்குபவரின் சம்பவ நடைமுறையைப் பின்பற்றி நம்பிக்கை நங்கூரத்தை மாற்றுங்கள், புதிய CA-வின் கீழ் சாதனச் சான்றிதழ்களை மீண்டும் வழங்கி.
பிறகு பிரச்சினையை உருவாக்கிய பொதியை மாற்றுங்கள். கோப்புகளின் வெளிப்படையான அனுமதிப் பட்டியலுடன் கோப்பகப் பட்டியலை அனுப்புங்கள், CA விசையை கிளையண்ட் குழுவில் ஒருபோதும் இணையாத இயந்திரத்தில் வையுங்கள், எந்த அமைப்பு அதை வைத்திருக்கிறது எனப் பதிவு செய்யுங்கள்.
அதிகாரசபை அடிக்கடி வழங்க வேண்டியிருந்தால், கையெழுத்திடுவதை குறுகிய வரம்பும் குறுகிய செல்லுபடியும் கொண்ட சேவை அல்லது இடைநிலை அதிகாரசபையின் பின்னால் நகர்த்துங்கள். அப்போது எதிர்காலத் தவறு முழு நிறுவலின் நம்பிக்கை வேர் அல்ல, வழங்கலின் ஒரு பகுதியை மட்டும் வெளிப்படுத்தும்.