Bakit ang pagkopya ng ca.key sa bawat VPN client ay sumisira sa CA
Siniyasat ng client ang pampublikong sertipiko ng CA; hindi nito kailanman kailangan ang susi na pumipirma. Ang pagkopya ng ca.key sa bawat aparato ay nagbibigay ng karapatang maglabas sa sinumang kumuha ng isang kopya.
Sa isang bahagi ng mga tagubilin sa pag-setup, ang isang direktoryo ay kinokopya nang buo sa bawat laptop dahil mas madali iyon kaysa magpasya kung aling mga file ang nararapat doon. Naglalaman ang direktoryong iyon ng ca.key, at sa sandaling makarating ito sa pangalawang aparato, hindi na awtoridad ang awtoridad ng sertipiko. Maaari na ngayong maglabas ang sinumang may hawak ng mga pagkakakilanlang pagtitiwalaan ng natitirang network.
Sulit na paghiwalayin ang kalituhang ito nang isang beses, dahil magkahawig ang dalawang file ngunit magkasalungat ang ginagawa.
Materyal sa pagsusuri at materyal sa pagpirma
Kailangan ng client ang pampublikong sertipiko ng CA upang suriin na ang sertipikong inihain ng kabilang panig ay pinirmahan ng awtoridad na iyon. Ito ay gawaing pagsusuri at hindi nangangailangan ng anumang lihim. Ang pagpirma sa sertipiko ng kabilang panig ay ibang gawain, isinasagawa nang isang beses ng nagpapatakbo ng CA, gamit ang pribadong susi na hindi kailanman lumalabas sa protektadong imbakan nito. Ang paghihiwalay ng dalawang gawaing ito ang buong dahilan ng paghahatid ng dalawang file.
Kaya kabilang ang ca.crt sa profile at hindi kabilang ang ca.key saanman malapit dito. Ang mga pangalan ng file ay isang kaugalian, hindi isang garantiya, kaya dapat suriin ang uri sa halip na hulaan mula sa pangalan.
Ang arkitekturang may intermediate CA o serbisyong paglabas sa online ay hindi eksepsyon. Ito ang karaniwang paraan upang ilayo ang kakayahang pumirma sa mga endpoint habang naglalabas ng mga sertipiko ng aparato nang malakihan.
Ano ang dapat patunayan ng client gamit ang sariling susi
Bawat aparato ay tumatanggap ng sariling pares ng susi at sariling sertipiko, pinirmahan nang isang beses ng CA. Inihahain ng client ang sertipikong iyon at pinapatunayang taglay nito ang katugmang pribadong susi, at nagpapasya ang server kung tatanggapin ito. Ito ang pagkakakilanlang binabawi kapag nawala ang isang laptop.
Pinakamahalaga ang pagkakaibang ito pagkatapos ng pagnanakaw. Sa mga pagkakakilanlan kada aparato, ang isang nahayag na client ay inaalis sa pamamagitan ng pagbawi o pag-alis ng kabilang panig, at patuloy na gumagana ang natitirang pulutong.
Ang tumagas na susi ng awtoridad ay hindi maaaring pangasiwaan nang ganoon. Ang bawat sertipikong pinirmahan o maaaring pinirmahan nito ay nagiging kahina-hinala, kaya ang tugon ay pagpapalit ng tiwala at hindi isang pagbawi. Iyon ay isang proyekto, hindi isang tiket.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Basahin ang isang file bago ito kopyahin kahit saan
Dalawang utos ang magsasabi sa iyo kung anong uri ng bagay ang hawak mo nang hindi naglilimbag ng anumang lihim. Itinatakda ng una ang paksa at ang bandila ng CA sa isang sertipiko; sinusuri ng pangalawa ang isang susi at iniuulat ang uri nito. Patakbuhin ang dalawa sa mga file sa bundle na ipapamahagi mo. Anumang nagpapatunay bilang pribadong susi ay hindi kabilang sa direktoryo ng client.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Kung magtagumpay ang pangalawang utos sa isang file na nasa bundle ng client, huminto at ituring ang bundle na nakompromiso. Ang output na nagsasabing balido ang isang susi ay nagsasabi ring naroroon ito, at ang pagkanaroon ang buong problema.
Pansinin din ang kabaligtarang direksyon: ang profile ng client ay lehitimong naglalaman ng sariling pribadong susi ng client na iyon. Ang pagbura sa bawat suwing matagpuan ay pumuputol ng koneksyon nang walang naiaayos, kaya dapat munang kilalanin ang bagay bago ito alisin.
Pagsugpo sa isang susi na naipamahagi mo na
Huwag ipagpalagay na binabalik ng pagbura sa lokal na kopya ang pagkakalantad. Sinuman ang naghawak ng file ay maaaring kumopya nito, at ang ligtas na palagay ay ginawa niya iyon. Sundin ang proseso ng insidente ng operator at palitan ang angkla ng tiwala, na muling naglalabas ng mga sertipiko ng aparato sa ilalim ng bagong CA.
Pagkatapos, baguhin ang packaging na lumikha ng problema. Magpadala ng listahan ng direktoryo na may tahasang listahan ng pinapayagang file, itago ang susi ng CA sa isang makinang hindi kailanman sumasama sa pulutong ng mga client, at itala kung aling sistema ang humahawak nito.
Kung kailangang maglabas ng madalas ang awtoridad, ilipat ang pagpirma sa likod ng isang serbisyo o isang intermediate na may makitid na saklaw at maikling bisa. Sa ganoon, ang pagkakamali sa hinaharap ay maghahayag ng isang bahagi ng paglabas at hindi ang ugat ng tiwala ng buong deployment.