Bu e'lon qilingan OpenVPN kaliti CA, hamkor kaliti yoki tls-authmi?

Kimdir VPN kaliti ommaviy ekanini xabar qiladi va bu jumla butunlay boshqa uch holatni yashiradi. Bu har bir mijozda bo'lishi kerak bo'lgan CA sertifikati, hech qachon bitta mashinadan chiqmasligi kerak bo'lgan shaxsiy identifikatsiya kaliti yoki ikkala tomon ham saqlashi kerak bo'lgan umumiy boshqaruv kanali siri bo'lishi mumkin. Tuzatish, shoshilinchlik va zarar ko'lami har bir holatda farq qiladi, shuning uchun birinchi vazifa harakat emas, tasniflashdir. Kategoriyani xato aniqlasangiz, har bir keyingi qadam behuda mehnat bo'ladi.

Fayl nomidan emas, direktivadan boshlang

Faol konfiguratsiyani o'qing va qaysi direktiva tegishli materialga ishora qilishini toping. OpenVPN'ning TLS parametrlari ishonchli sertifikat materiali uchun ca, mahalliy hamkor sertifikati uchun cert va unga tegishli shaxsiy kalit uchun key dan foydalanadi.

Fayl nomlari hech narsani isbotlamaydi. key.pem nomli faylda sertifikat bo'lishi mumkin, profildagi ichki blok esa diskdagi alohida fayl bilan aynan bir xil obyektni saqlashi mumkin. Nomga ishonish o'rniga faylni ochib uning sarlavhasini ko'ring. Ana shu bitta tekshiruv hisobotdagi noaniqlikning katta qismini yo'q qiladi.

Agar profil PKCS#12 paketi bo'lsa, unda aslida nima borligini ko'rish uchun uni nazorat qilinadigan joyda oching. Bitta paket sertifikat, uning zanjiri va shaxsiy kalitni olib yurishi mumkin, ya'ni paketning oqishi uchtasining ham oqishi.

Kimdir faylni o'zgartirishidan oldin tasnifni yozib qo'ying: obyekt, direktiva, qaysi hamkorlar uni saqlaydi va kim o'qiy oladi. Javobning qolgan qismi ana shu jumlaga bog'liq.

CA sertifikati bo'lishish uchun yaratilgan

Ommaviy CA sertifikati ishonch materialidir. Mijozlarga u serverni tekshirish uchun kerak, uni tarqatish esa odatiy holat, hodisa emas. Uni e'lon qilish CA'ning shaxsiy imzo kalitini e'lon qilmaydi va tajovuzkorga yangi identifikatsiyalar yaratish imkonini beradigan obyekt aynan shu.

Bu farqni biletda aniq yozib qo'yishga arziydi, chunki ikkalasi doim aralashtiriladi. Javob berilishi kerak bo'lgan savol: oqqan fayl sertifikatmi yoki imzo kalitimi, fayl mazmuniga bir qarash buni hal qiladi. Sertifikatda ommaviy kalit va imzo bo'ladi; imzo kaliti unda umuman ko'rinmaydi.

Tarqatish baribir ehtiyotkorlikni talab qiladi. Mijozlar sertifikatni tasdiqlangan profil yetkazish yo'li orqali olishi kerak, joylashtirish saytidan emas, ishonchsiz yo'l bilan kelgan sertifikat esa yo'lda almashtirilishi mumkin.

Hamkor kaliti va tls-auth siri bir xil emas

Hamkorning shaxsiy kaliti identifikatsiya materialidir. U ko'chirilgandan so'ng server mo'ljallangan qurilmani nusxasi bor har kimdan ajrata olmaydi, chunki isbotlanayotgan xususiyat aynan eksklyuziv egalik edi. Avtorizatsiyani davom ettirish va almashtirish VPN egasining qarorlari, faylni topgan odamning emas.

tls-auth siri uchinchi narsa. U boshqaruv kanali paketlari atrofida HMAC autentifikatsiyasini qo'shadi, shunda noto'g'ri autentifikatsiya qilingan paketlar TLS almashinuvidan oldin tashlab yuboriladi va u ham hamkorning shaxsiy kaliti emas, ham ilova ma'lumotlarini shifrlaydigan kalit emas.

Agar o'sha umumiy sir ommaviy bo'lsa, u bergan to'siq unga ega bo'lgan barcha uchun yo'qoldi. Bundan har bir egalovchi uning orqasidagi sertifikat va foydalanuvchi tekshiruvlaridan o'tadi degan xulosa chiqmaydi, shuning uchun tasniflash signal darajasidan muhimroq. Qaysi to'siq qulaganini va qaysilari qolganini ayting.

Oqqan rolni tuzating, qo'shnisini emas

Umumiy sirni fayl nomini o'zgartirish yoki yuklab olish havolasini yashirish bilan yana shaxsiy qilib bo'lmaydi. Almashtirish yangi qiymat yaratish va uni muvofiqlashtirilgan o'zgarishda har bir hamkorga tarqatish demakdir, faqat bir tomonni almashtirish esa eski qiymatga ega bo'lgan barchaning kelishuvini buzadi.

Agar hamkor identifikatsiyasi fosh bo'lgan bo'lsa, o'sha identifikatsiya uchun operatorning bekor qilish va qayta ro'yxatdan o'tkazish jarayonidan foydalaning. Aloqasiz hisob parolini o'zgartirish ko'chirilgan sertifikatni bekor qilmaydi, tls-auth faylini almashtirish ham bekor qilmaydi.

Ulardan birontasiga tayanishdan oldin joylashtirilgan server aslida nimani qo'llashini tasdiqlang. Yangilanmaydigan bekor qilish ro'yxati yoki uzilish vaqtida o'chirilgan rol tekshiruvi javobni butunlay o'zgartiradi. Omborni nusxasini emas, ishlab turgan konfiguratsiyani o'qing.

O'tgan trafikni o'z shartlari bilan baholang

Fosh qilingan fayl o'z-o'zidan avval ushlangan sessiyalarni shifrdan chiqarish mumkinmi-yo'qmi aytmaydi. Bu kalit o'rnatish usuli, fosh qilingan material va qanday yozuvlar mavjudligiga bog'liq, va «butun trafik yo'qoldi» ham, «hech narsa bo'lmadi» ham bu faktlarsiz taxmin.

Hisob ma'lumotlari qaysi kategoriyaga kirishini so'rayotib, uning yana bir nusxasini e'lon qilmang. Buning o'rniga direktivalar nomi va maxfiy bo'lmagan metama'lumotlarni tasdiqlangan qo'llab-quvvatlash yo'li orqali ulashing.

Foydali xulosa obyektni, uning rolini, yo'qolgan himoyani va zarur muvofiqlashtirilgan harakatni nomlaydi. Bundan qisqaroq har qanday narsa sarlavha, baholash emas.