ప్రతి VPN క్లయింట్‌కు ca.key కాపీ చేయడం CAను ఎందుకు బద్దలు కొడుతుంది
క్లయింట్ CA యొక్క పబ్లిక్ సర్టిఫికెట్‌ను ధృవీకరిస్తుంది; సంతకం చేసే కీ దానికి ఎప్పటికీ అవసరం లేదు. ca.keyను ప్రతి పరికరానికి కాపీ చేయడం ఒక నకలు తీసుకున్న ఎవరికైనా జారీ అధికారాన్ని ఇచ్చేస్తుంది.
సెటప్ సూచనలలో ఎక్కడో, ఏ ఫైళ్లు అక్కడ ఉండాలో నిర్ణయించడం కంటే సులభం కావడంతో ఒక డైరెక్టరీని ప్రతి ల్యాప్‌టాప్‌కు పూర్తిగా కాపీ చేస్తారు. ఆ డైరెక్టరీలో ca.key ఉంది, అది రెండవ పరికరానికి చేరిన క్షణం సర్టిఫికెట్ అథారిటీ అథారిటీగా ఉండదు. ఇప్పుడు ఏ నిర్వాహకుడైనా మిగిలిన నెట్‌వర్క్ నమ్మే గుర్తింపులను జారీ చేయగలడు.
ఈ గందరగోళాన్ని ఒకసారి విడదీయడం విలువైనది, ఎందుకంటే రెండు ఫైళ్లు చూడటానికి సమానంగా ఉండి పనిలో విరుద్ధంగా ఉంటాయి.
ధృవీకరణ పదార్థం మరియు సంతకం పదార్థం
ఎదుటి వైపు అందించిన సర్టిఫికెట్‌ను ఆ అథారిటీ సంతకం చేసిందో లేదో తనిఖీ చేయడానికి క్లయింట్‌కు CA యొక్క పబ్లిక్ సర్టిఫికెట్ అవసరం. ఇది ధృవీకరణ పని మరియు దీనికి ఎలాంటి రహస్యం అవసరం లేదు. ఎదుటి వైపు సర్టిఫికెట్‌పై సంతకం చేయడం మరో పని, దాన్ని CA నిర్వహించే వ్యక్తి ఒకసారి, తన రక్షిత నిల్వ నుండి ఎప్పటికీ బయటకు రాని ప్రైవేట్ కీతో చేస్తాడు. ఈ రెండు పనులను వేరుగా ఉంచడమే రెండు ఫైళ్లు పంపడం యొక్క మొత్తం ఉద్దేశ్యం.
అందువల్ల ca.crt ప్రొఫైల్‌కు చెందుతుంది, ca.key దాని దగ్గర ఎక్కడా చెందదు. ఫైల్ పేర్లు ఒక సంప్రదాయం, హామీ కాదు, అందుకే రకాన్ని పేరు నుండి ఊహించకుండా పరిశీలించాలి.
మధ్యవర్తి CA లేదా ఆన్‌లైన్ జారీ సేవ ఉన్న నిర్మాణం దీనికి మినహాయింపు కాదు. పెద్ద ఎత్తున పరికర సర్టిఫికెట్లను జారీ చేస్తూనే సంతకం సామర్థ్యాన్ని చివరి బిందువుల నుండి దూరంగా ఉంచే ప్రామాణిక మార్గం ఇది.
క్లయింట్ తన సొంత కీతో ఏమి నిరూపించాలి
ప్రతి పరికరం తన సొంత కీ జతను మరియు సొంత సర్టిఫికెట్‌ను పొందుతుంది, దానిపై CA ఒకసారి సంతకం చేస్తుంది. క్లయింట్ ఆ సర్టిఫికెట్‌ను చూపి సరిపోలే ప్రైవేట్ కీ తన వద్ద ఉన్నట్లు నిరూపిస్తుంది, సర్వర్ దాన్ని అంగీకరించాలా వద్దా అని నిర్ణయిస్తుంది. ల్యాప్‌టాప్ పోయినప్పుడు రద్దయ్యే గుర్తింపు ఇదే.
దొంగతనం తర్వాత ఈ భేదం అత్యంత ముఖ్యం. ప్రతి పరికరానికి వేర్వేరు గుర్తింపులు ఉంటే బయటపడిన ఒక క్లయింట్ రద్దు ద్వారా లేదా ఎదుటి వైపును తొలగించడం ద్వారా తీసివేయబడుతుంది, మిగిలిన బృందం పని కొనసాగిస్తుంది.
లీక్ అయిన అథారిటీ కీని ఈ విధంగా నిర్వహించలేము. అది ఇప్పటివరకు సంతకం చేసిన లేదా చేయగల సర్టిఫికెట్ ప్రతీది అనుమానాస్పదం అవుతుంది, కాబట్టి ప్రతిస్పందన ఒక రద్దు కాదు, నమ్మకాన్ని భర్తీ చేయడం. ఇది ఒక ప్రాజెక్ట్, టికెట్ కాదు.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
ఫైల్‌ను ఎక్కడికైనా కాపీ చేయడానికి ముందు చదవండి
రెండు ఆదేశాలు ఎలాంటి రహస్యాన్నీ ముద్రించకుండా మీ చేతిలో ఏ రకమైన వస్తువు ఉందో చెబుతాయి. మొదటిది సర్టిఫికెట్‌పై విషయాన్ని మరియు CA జెండాను తెలియజేస్తుంది; రెండవది కీని ధృవీకరించి దాని రకాన్ని నివేదిస్తుంది. మీరు పంపిణీ చేయబోయే బండిల్‌లోని ఫైళ్లపై రెండింటినీ నడపండి. ప్రైవేట్ కీగా ధృవీకరణ అయ్యేది ఏదీ క్లయింట్ డైరెక్టరీలో ఉండకూడదు.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
క్లయింట్ బండిల్‌లో ఉన్న ఫైల్‌పై రెండవ ఆదేశం విజయవంతమైతే, ఆగి ఆ బండిల్‌ను ఉల్లంఘించబడినదిగా పరిగణించండి. కీ చెల్లుబాటు అవుతుందని చెప్పే అవుట్‌పుట్ అది ఉన్నట్లు కూడా చెబుతుంది, ఆ ఉనికే మొత్తం సమస్య.
ఎదురు దిశను కూడా గమనించండి: క్లయింట్ ప్రొఫైల్‌లో ఆ క్లయింట్ యొక్క సొంత ప్రైవేట్ కీ చట్టబద్ధంగా ఉంటుంది. దొరికిన ప్రతి కీని తొలగించడం ఏమీ మెరుగుపరకుండా కనెక్షన్‌ను తెంపేస్తుంది, కాబట్టి తొలగించే ముందు వస్తువును గుర్తించాలి.
ఇప్పటికే పంపిణీ చేసిన కీని నియంత్రించడం
స్థానిక నకలును తొలగించడం బహిర్గతాన్ని తిరిగి మారుస్తుందని భావించవద్దు. ఫైల్ ఉన్న ఎవరైనా దాన్ని కాపీ చేసి ఉండవచ్చు, సురక్షితమైన ఊహ ఏమిటంటే వారు చేశారు. ఆపరేటర్ సంఘటన విధానాన్ని అనుసరించి నమ్మకపు లంగరును మార్చండి, కొత్త CA కింద పరికర సర్టిఫికెట్లను తిరిగి జారీ చేస్తూ.
తర్వాత సమస్యను సృష్టించిన ప్యాకేజింగ్‌ను మార్చండి. ఫైళ్ల స్పష్టమైన అనుమతి జాబితాతో డైరెక్టరీ జాబితాను పంపండి, CA కీని క్లయింట్ బృందంలో ఎప్పటికీ చేరని యంత్రంలో ఉంచండి, ఏ వ్యవస్థ దాన్ని ఉంచుతుందో నమోదు చేయండి.
అథారిటీ తరచుగా జారీ చేయాల్సి వస్తే, సంతకం చేయడాన్ని సన్నని పరిధి మరియు తక్కువ చెల్లుబాటు ఉన్న సేవ లేదా మధ్యవర్తి అథారిటీ వెనుకకు మార్చండి. అప్పుడు భవిష్యత్తు పొరపాటు మొత్తం అమరిక యొక్క నమ్మక మూలాన్ని కాదు, జారీలోని ఒక భాగాన్ని మాత్రమే బహిర్గతం చేస్తుంది.