โปรไฟล์ OpenVPN มีบล็อกใบรับรองสามบล็อก: อันไหนเป็นความลับ

คุณเปิดไฟล์ .ovpn เพื่อแก้ไขหนึ่งบรรทัดแล้วพบบล็อก base64 สามบล็อกที่ดูเหมือนข้อมูลรับรองทั้งหมด อันหนึ่งปลอดภัยที่จะเผยแพร่ อีกอันอ่อนไหวพอ ๆ กับรหัสผ่าน และอีกอันเป็นกุญแจสาธารณะที่ไม่มีความหมายเลยหากไม่มีอะไรอื่นลงนามด้วยคู่ของมัน ผู้คนวางไฟล์ทั้งหมดลงในกระทู้ช่วยเหลือเพราะบล็อกดูเหมือนแทนกันได้ และนั่นคือวิธีที่กุญแจไคลเอนต์หลุดไปอยู่ในคลังสาธารณะ การแยกให้ออกว่าบล็อกไหนทำอะไรอธิบายความสับสนส่วนใหญ่รอบ ๆ โปรไฟล์เหล่านี้ และยังบอกด้วยว่าความล้มเหลวใดที่คุณต้องแก้เอง

ไฟล์เดียว สามบล็อก หน้าที่ต่างกัน

โปรไฟล์ทั่วไปฝังบล็อก ca บล็อก cert และบล็อก key ไว้ระหว่างเครื่องหมาย BEGIN และ END หรือ ชี้ไปยังสามสิ่งเดียวกันในรูปแบบไฟล์แยก. โปรไฟล์บางอันเพิ่มบล็อกที่สี่สำหรับคีย์ tls-auth หรือ tls-crypt ซึ่งเป็นความลับร่วมไม่ใช่ใบรับรอง ไคลเอนต์อ่านแต่ละบล็อกตามคำสั่งที่ระบุชื่อ ดังนั้นป้ายชื่อจึงสำคัญกว่าลำดับที่ปรากฏ

ถือว่าโปรไฟล์ที่ประกอบแล้วอ่อนไหวจนกว่าคุณจะดูข้างในจริง ๆ ใบรับรองสาธารณะและคีย์ส่วนตัวอาจอยู่ห่างกันไม่กี่บรรทัดในไฟล์เดียวกัน และภาพหน้าจอที่รวมส่วนหัวอาจมีทั้งสองอย่าง การปิดทับ base64 ที่มองเห็นด้วยมือก็ไม่น่าเชื่อถือ เพราะบล็อกที่ไม่ครบยังรั่วข้อมูลเมตาของใบรับรองที่ระบุชื่อการติดตั้งของคุณ การคัดลอกคำสั่งทั้งสามโดยไม่มีค่ามักเพียงพอที่จะถามคำถามที่มีประโยชน์

คำสั่งรอบบล็อกเป็นตัวกำหนดว่าจะใช้อย่างไร เปลี่ยน ca แล้วไคลเอนต์เชื่อถือหน่วยงานอื่น เปลี่ยน cert โดยไม่เปลี่ยน key แล้วการจับมือล้มเหลวด้วยความไม่ตรงกันที่ไม่เกี่ยวกับความเชื่อถือเลย

บล็อก CA เป็นสาธารณะ คีย์ CA ไม่เคยเป็น

หน่วยงานออกใบรับรองลงนามใบรับรองที่ผูกกุญแจสาธารณะเข้ากับตัวตน และใบรับรองของตนเองคือหลักยึดที่ไคลเอนต์ใช้ตัดสินว่าห่วงโซ่น่าเชื่อถือหรือไม่ ใบรับรองนั้นเป็นสาธารณะโดยการออกแบบ การส่งไว้ในทุกโปรไฟล์เป็นเรื่องปกติ และนั่นคือเหตุผลที่การติดตั้งที่ลงนามเองสามารถทำงานได้โดยไม่ต้องมีหน่วยงานเชิงพาณิชย์

สิ่งที่ต้องไม่ปรากฏในโปรไฟล์ไคลเอนต์คือคีย์ลงนามส่วนตัวของหน่วยงาน ไคลเอนต์ไม่จำเป็นต้องใช้เพื่อตรวจสอบสิ่งใด และการมีอยู่หมายความว่าใครก็ตามที่มีโปรไฟล์สามารถสร้างตัวตนใหม่ให้กับการติดตั้งทั้งหมดได้

การเชื่อถือหน่วยงานก็แคบกว่าที่ฟังดู ไคลเอนต์ที่ยอมรับใบรับรองใด ๆ ที่ CA ลงนามจะยังยอมรับใบรับรองที่ออกให้บริการอื่นบน CA เดียวกัน ตัวเลือกที่ปักหมุดบทบาทหรือชื่อเซิร์ฟเวอร์ที่คาดไว้ปิดช่องว่างนั้น และ เอกสารอ้างอิงตัวเลือก TLS แสดงรายการคำสั่งตรวจสอบที่ทำเช่นนั้น

ใบรับรองเซิร์ฟเวอร์และไคลเอนต์ชี้ไปในทิศทางตรงข้าม

ใบรับรองของเซิร์ฟเวอร์คือสิ่งที่ไคลเอนต์ตรวจสอบเพื่อยืนยันว่าไปถึงปลายทางที่ถูกต้อง ใบรับรองไคลเอนต์ของคุณทำงานตรงกันข้าม เซิร์ฟเวอร์ใช้มันเพื่อตัดสินว่าอุปกรณ์หรือผู้ใช้นี้เป็นรายที่ตนลงทะเบียนไว้ รูปแบบเดียวกัน ทิศทางความเชื่อถือตรงกันข้าม

ที่อยู่ไม่ใช่ตัวตน การไปถึง IP ที่ถูกต้องไม่ได้พิสูจน์อะไรเกี่ยวกับผู้ที่ตอบกลับ ดังนั้น การตรวจสอบชื่อโฮสต์หรือชื่อใบรับรองยังคงเป็นส่วนหนึ่งของโปรไฟล์รหัสผ่านบัญชีก็ไม่ได้แทนที่ใบรับรองไคลเอนต์ที่กำหนดไว้อย่างเงียบ ๆ เพราะทั้งสองถูกตรวจในขั้นตอนที่ต่างกัน และการติดตั้งอาจต้องการทั้งสองอย่าง

คีย์ส่วนตัวของไคลเอนต์คือส่วนที่ต้องคงเป็นความลับ หากอาจถูกเปิดเผย การลบไฟล์ออกจากแล็ปท็อปของคุณไม่เปลี่ยนอะไรบนเซิร์ฟเวอร์ ซึ่งจะยังคงยอมรับใบรับรองที่เกี่ยวข้องจนกว่าผู้ดูแลจะเพิกถอน การขอให้ผู้ดูแลเปลี่ยนหรือเพิกถอนตัวตนนั้นคือทางแก้เดียวที่เดินทางไปกับคุณ

สองข้อความที่ดูเหมือนกันแต่ไม่ใช่

คีย์ที่เก็บในรูปแบบเข้ารหัสจะขอวลีรหัสผ่านก่อนที่ไคลเอนต์จะใช้ได้ บริการ VPN อาจขอรหัสผ่านบัญชีแยกต่างหาก และข้อความทั้งสองอาจปรากฏห่างกันไม่กี่วินาทีด้วยถ้อยคำเกือบเหมือนกัน วลีรหัสผ่านปกป้องไฟล์บนดิสก์ของคุณ ส่วนรหัสผ่านพิสูจน์บัญชีต่อเซิร์ฟเวอร์ การสับสนระหว่างสองสิ่งนี้นำผู้คนไปสู่การรีเซ็ตรหัสผ่านที่ไม่สามารถช่วยได้เลย

อ่านข้อความก่อนที่จะรีเซ็ตสิ่งใด การรีเซ็ตรหัสผ่านบัญชีไม่ได้ช่วยอะไรกับวลีรหัสผ่านของคีย์ที่ลืม ใบรับรองที่ถูกเพิกถอนหรือหมดอายุ และการรีเซ็ตรหัสผ่านเมื่อความล้มเหลวคือการตรวจสอบใบรับรองจะเปลี่ยนการแก้ไขสองนาทีให้เป็นเคสสนับสนุน หากข้อร้องเรียนระบุวันหมดอายุ ให้ตรวจสอบนาฬิกาของอุปกรณ์ก่อน แล้วจึงตรวจช่วงเวลาของใบรับรองที่ระบุชื่อ

เมื่อใบรับรองหมดอายุจริง การเปลี่ยนต้องมาจากผู้ออกใบรับรองนั้น กุญแจที่เป็นของคนอื่นไม่ใช่เส้นทางการต่ออายุ และการขอยืมโปรไฟล์ที่ใช้งานได้จากเพื่อนร่วมงานก็ไม่ใช่เช่นกัน

การจับมือที่สะอาดพิสูจน์อะไรและไม่พิสูจน์อะไร

การไปถึงการจับมือ TLS ที่สมบูรณ์หมายความว่าความสัมพันธ์ของตัวตนที่กำหนดไว้ยังคงอยู่ ใบรับรองเซิร์ฟเวอร์เชื่อมโยงกับ CA ของคุณและใบรับรองของคุณได้รับการยอมรับ สิ่งนี้ไม่บอกอะไรเกี่ยวกับนโยบายการบันทึกของผู้ดูแล และไม่บอกว่าแอปพลิเคชันของคุณจะทำงานเมื่ออุโมงค์ขึ้นแล้วหรือไม่

เส้นทางและ DNS เป็นขั้นตอนหลังของการเชื่อมต่อ ดังนั้นโฮสต์อินทราเน็ตที่เข้าถึงไม่ได้หลังจากเข้าสู่ระบบสำเร็จจึงเป็นปัญหาเรื่องการเชื่อมต่อไม่ใช่ใบรับรอง ทำงานที่ชั้นนั้นแทนการสลับข้อมูลรับรอง และเก็บที่มาของโปรไฟล์ วัสดุส่วนตัว และการตรวจสอบตัวตนไว้ด้วยกันเมื่อคุณมอบให้ใคร