ca.key dosyasını her VPN istemcisine kopyalamak CA’yı neden bozar
İstemci, CA’nın açık sertifikasını doğrular; imzalayan anahtara asla ihtiyaç duymaz. ca.key dosyasını her cihaza kopyalamak, bir kopya alan herkese verme yetkisini devreder.
Kurulum talimatlarının bir yerinde, hangi dosyaların oraya ait olduğuna karar vermekten daha kolay olduğu için bir dizin olduğu gibi her dizüstü bilgisayara kopyalanır. O dizin ca.key dosyasını içerir ve ikinci bir cihaza ulaştığı anda sertifika otoritesi artık bir otorite değildir. Artık her taşıyıcı, ağın geri kalanının güveneceği kimlikleri verebilir.
Bu karışıklığı bir kez çözmeye değer, çünkü iki dosya birbirine benzer ama zıt işler yapar.
Doğrulama malzemesi ve imzalama malzemesi
İstemcinin, karşı tarafın sunduğu sertifikanın o otorite tarafından imzalandığını denetlemek için CA’nın açık sertifikasına ihtiyacı vardır. Bu bir doğrulama işidir ve hiçbir sır gerektirmez. Karşı tarafın sertifikasını imzalamak başka bir iştir; CA’yı işleten kişi tarafından bir kez, korumalı deposundan asla çıkmayan özel anahtarla yapılır. Bu iki işi ayrı tutmak, iki dosya göndermenin tüm amacıdır.
Bu nedenle ca.crt profilde yer alır ve ca.key onun yakınında hiçbir yerde yer almaz. Dosya adları bir gelenektir, garanti değildir, bu yüzden tür adından tahmin edilmek yerine incelenmelidir.
Ara CA veya çevrimiçi verme hizmeti olan bir mimari bunun istisnası değildir. Cihaz sertifikaları ölçekli olarak verilirken imzalama yeteneğini uç noktalardan uzak tutmanın standart yolu budur.
İstemcinin kendi anahtarıyla neyi kanıtlaması gerekir
Her cihaz kendi anahtar çiftini ve kendi sertifikasını alır, CA tarafından bir kez imzalanır. İstemci bu sertifikayı sunar ve eşleşen özel anahtara sahip olduğunu kanıtlar, sunucu da kabul edip etmeyeceğine karar verir. Bir dizüstü bilgisayar kaybolduğunda iptal edilen kimlik budur.
Bu karşıtlık en çok hırsızlıktan sonra önemlidir. Cihaz başına kimliklerle, açığa çıkan tek bir istemci iptal veya karşı tarafın kaldırılmasıyla devre dışı bırakılır ve filosunun geri kalanı çalışmaya devam eder.
Sızmış bir otorite anahtarı böyle ele alınamaz. İmzaladığı ya da imzalayabileceği her sertifika şüpheli hale gelir, bu yüzden yanıt tek bir iptal değil güvenin değiştirilmesidir. Bu bir projedir, bilet değil.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Bir dosyayı herhangi bir yere kopyalamadan önce okuyun
İki komut, hiçbir sır yazdırmadan elinizde ne tür bir nesne olduğunu söyler. Birincisi bir sertifikadaki özneyi ve CA bayrağını belirtir; ikincisi bir anahtarı doğrular ve türünü bildirir. Dağıtacağınız paketteki dosyalar üzerinde ikisini de çalıştırın. Özel anahtar olarak doğrulanan hiçbir şey bir istemci dizinine ait değildir.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
İkinci komut istemci paketinde duran bir dosyada başarılı olursa durun ve paketi ele geçirilmiş sayın. Bir anahtarın geçerli olduğunu söyleyen çıktı, aynı zamanda onun mevcut olduğunu söyler ve varlığı bütün sorundur.
Ters yöne de dikkat edin: bir istemci profili, o istemcinin kendi özel anahtarını meşru olarak içerir. Bulduğunuz her anahtarı silmek hiçbir şeyi iyileştirmeden bağlantıyı koparır, bu yüzden nesne kaldırılmadan önce tanımlanmalıdır.
Zaten dağıttığınız bir anahtarı sınırlamak
Yerel kopyayı silmenin maruziyeti geri aldığını varsaymayın. Dosyayı elinde tutan herkes kopyalamış olabilir ve güvenli varsayım kopyaladığıdır. Operatörün olay sürecini izleyin ve güven çıpasını değiştirin, cihaz sertifikalarını yeni bir CA altında yeniden vererek.
Sonra sorunu yaratan paketlemeyi değiştirin. Açık bir izin verilen dosya listesiyle birlikte dizin listesi gönderin, CA anahtarını istemci filosuna asla katılmayan bir makinede tutun ve hangi sistemin onu tuttuğunu kaydedin.
Otorite sık sık vermek zorundaysa, imzalamayı dar kapsamlı ve kısa geçerlilikli bir hizmetin ya da ara otoritenin arkasına taşıyın. Böylece gelecekteki bir hata tüm dağıtımın güven kökünü değil, vermenin bir bölümünü açığa çıkarır.