Bir OpenVPN profilinde üç sertifika bloğu var: hangisi gizli?

Tek bir satırı değiştirmek için bir .ovpn dosyası açarsınız ve hepsi kimlik bilgisi gibi görünen üç base64 bloğu bulursunuz. Biri yayımlamak için güvenlidir, biri parola kadar hassastır, biri ise çiftiyle başka bir şey imzalanmadıkça hiçbir anlamı olmayan bir ortak anahtardır. Bloklar birbirinin yerine geçebilir göründüğü için insanlar dosyanın tamamını bir destek konusuna yapıştırır ve istemci anahtarı böylece herkese açık bir arşivde kalır. Hangi bloğun ne yaptığını ayırmak, bu profillerin etrafındaki karışıklığın çoğunu açıklar ve hangi arızaları kendinizin düzeltmesi gerektiğini de söyler.

Tek dosya, üç blok, farklı işler

Tipik bir profil BEGIN ve END işaretleri arasına bir ca bloğu, bir cert bloğu ve bir key bloğu yerleştirir ya da aynı üçlüye ayrı dosyalar olarak işaret eder. Bazı profiller tls-auth veya tls-crypt anahtarı için dördüncü bir blok ekler; bu bir sertifika değil, paylaşılan bir sırdır. İstemci her bloğu onu adlandıran direktife göre okur, dolayısıyla etiketler görünme sırasından daha önemlidir.

Gerçekten içine bakana kadar birleştirilmiş profili hassas sayın. Ortak bir sertifika ile özel anahtar aynı dosyada birkaç satır arayla durabilir ve başlığı içeren bir ekran görüntüsü ikisini birden içerebilir. Görünen base64'ü elle karartmak da güvenilir değildir, çünkü kısmi bir blok bile dağıtımınızı adlandıran sertifika üst verisini sızdırır. Üç direktifi değerleri olmadan kopyalamak genellikle yararlı bir soru sormaya yeter.

Blokların çevresindeki direktifler nasıl kullanıldıklarını belirler. ca değiştirin, istemci başka bir otoriteye güvenir; key değiştirmeden cert değiştirin, el sıkışma güvenle hiç ilgisi olmayan bir uyuşmazlıkla başarısız olur.

CA bloğu ortaktır, CA anahtarı asla

Bir sertifika otoritesi ortak anahtarı bir kimliğe bağlayan sertifikaları imzalar ve kendi sertifikası, bir istemcinin zincirin güvenilir olup olmadığına karar verdiği çıpadır. Bu sertifika tasarımı gereği ortaktır: her profilin içinde göndermek normaldir ve bu nedenle kendi imzaladığı bir dağıtım ticari bir otorite olmadan çalışabilir.

Bir istemci profilinde asla görünmemesi gereken şey otoritenin özel imzalama anahtarıdır. İstemcinin hiçbir doğrulama için ona ihtiyacı yoktur ve varlığı, profili elinde tutan herkesin tüm dağıtım için yeni kimlikler üretebileceği anlamına gelir.

Bir otoriteye güvenmek de kulağa geldiğinden dardır. CA tarafından imzalanan her sertifikayı kabul eden bir istemci, aynı CA üzerinde başka bir hizmet için verilmiş bir sertifikayı yine kabul eder. Beklenen sunucu rolünü veya adını sabitleyen seçenekler bu boşluğu kapatır ve TLS seçenekleri başvurusu bunu yapan doğrulama direktiflerini listeler.

Sunucu ve istemci sertifikaları zıt yönleri gösterir

Sunucunun sertifikası, istemcinin doğru uç noktaya ulaştığını doğrulamak için incelediği şeydir. Sizin istemci sertifikanız ters yönde çalışır: sunucu, bu cihazın veya kullanıcının kendi kaydettiği biri olduğuna karar vermek için onu kullanır. Aynı biçim, zıt güven yönü.

Bir adres kimlik değildir. Doğru IP'ye ulaşmak kimin yanıt verdiği konusunda hiçbir şey kanıtlamaz, bu yüzden ana bilgisayar adı veya sertifika adı denetimi hâlâ profile aittir. Hesap parolası da gerekli bir istemci sertifikasının yerini sessizce almaz, çünkü ikisi farklı aşamalarda denetlenir ve bir dağıtım ikisini de isteyebilir.

İstemcinin özel anahtarı özel kalması gereken kısımdır. Açığa çıkmış olabilecekse, dosyayı dizüstü bilgisayarınızdan silmek sunucuda hiçbir şeyi değiştirmez; sunucu ilgili sertifikayı işletmeci iptal edene kadar kabul etmeye devam eder. İşletmeciden bu kimliği değiştirmesini veya iptal etmesini istemek, sizinle birlikte yolculuk eden tek çözümdür.

Birbirinin aynısı görünen ve olmayan iki istem

Şifrelenmiş biçimde saklanan bir anahtar, istemci kullanmadan önce bir parola ifadesi ister. VPN hizmeti ayrıca bir hesap parolası isteyebilir ve iki istem neredeyse aynı sözlerle saniyeler arayla görünebilir. Parola ifadesi diskinizdeki bir dosyayı korur; parola bir hesabı sunucuya kanıtlar. İkisini karıştırmak insanları hiçbir şekilde yardımcı olamayacak parola sıfırlamalarına gönderir.

Herhangi bir şeyi sıfırlamadan önce istemi okuyun. Hesap parolasını sıfırlamak unutulmuş bir anahtar parola ifadesi, iptal edilmiş veya süresi dolmuş bir sertifika için hiçbir şey yapmaz ve arıza sertifika doğrulamasıyken parolayı sıfırlamak iki dakikalık bir düzeltmeyi destek kaydına dönüştürür. Şikâyet geçerlilik tarihlerinden söz ediyorsa önce cihazın saatini, sonra adı geçen sertifikanın kendi penceresini denetleyin.

Sertifikanın süresi gerçekten dolduysa, yerine koyma onu veren taraftan gelmelidir. Başkasına ait bir anahtar yenileme yolu değildir; bir iş arkadaşından çalışan bir profil ödünç almak da değildir.

Temiz bir el sıkışmanın kanıtladığı ve kanıtlamadığı şeyler

Tamamlanmış bir TLS el sıkışmasına ulaşmak, yapılandırılmış kimlik ilişkisinin tuttuğu anlamına gelir: sunucunun sertifikası CA'nıza zincirlendi ve sizin sertifikanız kabul edildi. Bu, işletmecinin günlükleme politikası hakkında hiçbir şey söylemez ve tünel açıldıktan sonra uygulamalarınızın çalışıp çalışmayacağını da söylemez.

Yollar ve DNS bağlantının sonraki aşamalarıdır, bu nedenle başarılı bir oturum açmadan sonra erişilemeyen bir intranet ana bilgisayarı sertifika değil bağlantı sorunudur. Kimlik bilgilerini değiştirmek yerine o katmanda çalışın ve profili birine verirken kaynağını, özel malzemesini ve kimlik denetimlerini bir arada tutun.