VPN için Kendinden İmzalı ve Genel CA: Gerçekte Ne Değişir

Bir VPN kurulumunun sertifika sayfasına gelirsiniz, ücretsiz kendinden imzalı seçeneği ücretli bir genel CA'nın yanında görürsünüz ve soru bir güvenlik tercihi gibi görünür. Aslında bu bir hedef kitle tercihidir. İki seçenek de tüneli aynı ilkel öğelerle şifreler ve özel anahtar sızarsa ikisi de değersizleşir. Onları ayıran, sunucunun kimliği hakkındaki iddiayı kimin ortaya koyduğu ve bu iddiayı denetleyebilecek konumda kimin olduğudur.

Bir sertifika birbiriyle karıştırılan iki iş yapar

Bir sertifika bir genel anahtarı bir ada bağlar ve anahtar şifreleme ile imzalama işini yapar. Sertifika üzerindeki imza ayrı bir bildiredir: bir otorite, adın bu anahtar sahibine ait olduğunu doğrulamıştır. Kendinden imzalı bir sertifika bu bildiriyi kendi hakkında yapar, ki bu hiç de üçüncü taraf iddiası değildir.

Genel web siteleri üçüncü taraf sürümüne ihtiyaç duyar, çünkü ziyaretçiler önceden bir ilişki olmadan gelir ve tarayıcının güven deposuna güvenir. VPN istemcisi bir yabancı değildir. Ona CA sertifikasını verirsiniz veya kurduğu profilin içinde sunucu sertifikasını sabitlersiniz, böylece doğrulama tam olarak seçtiğiniz otoriteye karşı çalışır. O denetimin bir anlam taşıması için ticari bir CA'nın dahil olması gerekmez.

Ortaya çıkan oturumun gücü anahtar boyutundan ve şifre paketinden gelir, imzalayandan değil. Bu yüzden kendinden imzalı bir sertifikaya "daha az şifreli" demek düpedüz yanlıştır; daha az geniş kefalet altındadır, ki bu başka bir özelliktir.

Genel CA ücretini nerede kazanır

En net durum yönetim sayfasıdır. Meslektaşlar, yükleniciler veya hazır profili olmayan herhangi biri, VPN sunucusunun web arayüzünü tarayıcı uyarısı olmadan açmak zorundaysa, kamuya güvenilir bir sertifika bu sürtünmeyi ortadan kaldırır. Tarayıcı zaten imzalayana güvenir, dolayısıyla içe aktarılacak ve açıklanacak bir şey yoktur.

Bu kolaylığın satın almadan önce adlandırılmaya değer maliyetleri vardır. Yenileme otomatikleştirilmelidir, yoksa site bir takvime göre bozulur, genel sertifikalar ana bilgisayar adını sertifika şeffaflık günlüklerinde açığa çıkarır ve düzenleme hızı sınırları çok hevesle yeniden deneyen bir betiği cezalandırır. Bunların hiçbiri genel bir CA'dan kaçınmak için gerekçe değildir, ama özel bir CA'nın başka bir yere taşıdığı operasyonel iştir.

Genel bir sertifikanın yapmadığı şey kullanıcılarınızın kimliğini doğrulamaktır. İstemci kimliği ayrı bir karardır; istemci sertifikaları, parolalar veya ikinci bir faktörle verilir ve sunucuyu imzalayan CA, ona kimin bağlanabileceği hakkında hiçbir şey söylemez.

Özel CA bir VPN'e nerede uyar

Bilinen bir istemci kümesine sahip özel bir VPN için kendi CA'nızı çalıştırmak geleneksel seçimdir. CA'yı bir kez oluşturur, sunucu sertifikasını istemcilerin kullanacağı bir adla imzalarsınız ve CA sertifikasını her profilin içinde dağıtırsınız. Ardından her istemci sunucuyu sizin otoritenize karşı doğrular ve hiçbir dış taraf ana bilgisayar adını öğrenmez.

Maliyetler gerçektir ama sınırlıdır. Biri yönetim sayfasını doğrudan açtığında tarayıcılar uyarır, çünkü tarayıcının CA'nıza güvenmek için hiçbir nedeni yoktur. Profil dağıtımı işe alıştırmanın parçası olur ve CA'yı döndürmek her istemciye dokunmak anlamına gelir. Bunlar on veya elli bilinen kullanıcısı olan bir hizmet için kabul edilebilir fiyatlardır ve binlercesi olan genel bir uç nokta için acı vericidir.

Tek bir koşul tüm düzenlemeyi geçerli kılar: doğrulama gerçekleşmelidir. Sertifika hatalarını yok sayacak şekilde yapılandırılmış bir istemci, herhangi bir sertifika sunan herhangi bir sunucuyu kabul eder, böylece kimlik garantisi kaybolurken şifreleme kalır. O ayar, "kendinden imzalı güvensizdir" hikâyelerinin çoğundaki gerçek zayıflıktır.

CA'nın özel anahtarı sonradan neler yapabileceğinizi belirler

Sürpriz genellikle aylar sonra, bir cihaz eklemek istediğinizde gelir. İstemci sertifikası düzenlemek CA'nın özel anahtarını gerektirir; iptal listesi üretmek de öyle. Sertifika ve anahtar dosyalarına sahip ama CA anahtarına sahip olmayan bir sunucuyu devraldıysanız yeni hiçbir şeyi imzalayamazsınız. Seçenekleriniz PKI'yi yeniden kurup her istemciye yeni bir CA sertifikası vermek ya da parola kimlik doğrulamasına geçmektir; bu farklı bir güvenlik modelidir ve kaybedileni geri getirmez.

Aynı bölgede iki küçük tuzak yaşar. easy-rsa betikleri kendilerini içeren dizinde durduğunuzu varsayar, bu yüzden eksik dosya hatası genellikle bozuk bir kurulumu değil yanlış konumu ifade eder. Ve yalnızca sertifikalara dayanan bir tasarım tamamen meşrudur: her istemcide bir tane olması ve sunucunun zinciri doğrulaması koşuluyla, önceden paylaşılan anahtar olmadan istemci sertifikaları talep edebilirsiniz.

Tüm ekip için tek bir paylaşılan istemci sertifikası yerine cihaz başına bir sertifika düzenleyin. O zaman kaybolan bir dizüstü bilgisayar size herkes için yeniden düzenleme yerine tek bir iptale mal olur.

Devraldığınız şeyi denetleyin

Herhangi bir değişiklik planlamadan önce, zaten sahip olduğunuz sertifikayı okuyun:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Veren ile konu eşitse sertifika kendinden imzalıdır, bu bir tasarım tercihidir, kusur değil. Tarihler yenilemenin ne zaman birinin sorunu olacağını söyler ve göndermeyi planladığınız CA'ya karşı başarılı bir doğrulama, tek bir istemci denemeden önce zincirin çalıştığını doğrular.

Sonra hedef kitleye ve dağıtıma göre seçin: bilinmeyen tarayıcılar yönetim sayfasına güvenmek zorundaysa genel CA, her istemci sizin denetlediğiniz bir profil alıyorsa özel CA. İki yanıttan hiçbiri diğerinden daha fazla şifreli değildir.