VPN uchun o'z-o'zidan imzolangan va ommaviy CA: aslida nima o'zgaradi

Siz VPN sozlamasining sertifikatlar sahifasiga yetib borasiz, bepul o'z-o'zidan imzolangan variantni pullik ommaviy CA yonida ko'rasiz va savol xavfsizlik tanlovidek eshitiladi. Aslida bu auditoriya tanlovi. Ikkala variant ham tunnelni bir xil kriptografik asoslar bilan shifrlaydi va shaxsiy kalit oshkor bo'lsa, ikkisi ham befoyda bo'ladi. Ularni ajratadigan narsa — serverning shaxsi haqidagi da'voni kim aytishi va bu da'voni tekshirish imkoniyatiga kim ega ekani.

Sertifikat chalkashtiriladigan ikki ishni bajaradi

Sertifikat ommaviy kalitni nom bilan bog'laydi, kalit esa shifrlash va imzolash ishini bajaradi. Sertifikatdagi imzo alohida bayonot: qandaydir organ bu nom shu kalit egasiga tegishli ekanini tekshirgan. O'z-o'zidan imzolangan sertifikat bu bayonotni o'zi haqida beradi, bu esa umuman uchinchi tomon da'vosi emas.

Ommaviy veb-saytlarga uchinchi tomon versiyasi kerak, chunki tashrif buyuruvchilar oldindan aloqasiz keladi va brauzerning ishonch omboriga tayanadi. VPN mijozi begona emas. Siz unga CA sertifikatini berasiz yoki o'rnatadigan profil ichida server sertifikatini mahkamlaysiz, shuning uchun tekshiruv aynan siz tanlagan organga qarshi boradi. Bu tekshiruvning ma'noga ega bo'lishi uchun hech qanday tijoriy CA ishtirok etishi shart emas.

Natijaviy sessiyaning kuchi kalit o'lchami va shifr to'plamidan keladi, imzolovchidan emas. Shuning uchun o'z-o'zidan imzolangan sertifikatni "kamroq shifrlangan" deb atash shunchaki xato; u kamroq keng kafolatlangan, bu esa boshqa xususiyat.

Ommaviy CA o'z to'lovini qayerda oqlaydi

Eng aniq holat — boshqaruv sahifasi. Agar hamkasblar, pudratchilar yoki tayyor profili yo'q har kim VPN serverining veb-interfeysini brauzer ogohlantirishisiz ochishi kerak bo'lsa, ommaviy ishonchli sertifikat bu to'siqni olib tashlaydi. Brauzer imzolovchiga allaqachon ishonadi, shuning uchun import qiladigan ham, tushuntiradigan ham narsa yo'q.

Bu qulaylikning sotib olishdan oldin aytib o'tishga arziydigan xarajatlari bor. Yangilash avtomatlashtirilishi kerak, aks holda sayt jadval bo'yicha buziladi, ommaviy sertifikatlar sertifikat shaffofligi jurnallarida xost nomini oshkor qiladi va chiqarish tezligi cheklovlari haddan tashqari ishtiyoq bilan qayta urinadigan skriptni jazolaydi. Bularning hech biri ommaviy CA dan qochish uchun sabab emas, lekin bu xususiy CA boshqa joyga ko'chiradigan operatsion ish.

Ommaviy sertifikat qilmaydigan narsa — foydalanuvchilaringizni autentifikatsiya qilish. Mijoz shaxsi alohida qaror, mijoz sertifikatlari, parollar yoki ikkinchi omil bilan qabul qilinadi va serverni imzolovchi CA unga kim ulanishi mumkinligi haqida hech narsa aytmaydi.

Xususiy CA VPN ga qayerda mos keladi

Mijozlar to'plami ma'lum bo'lgan xususiy VPN uchun o'z CA ngizni yuritish an'anaviy tanlovdir. CA ni bir marta yaratasiz, server sertifikatini mijozlar ishlatadigan nom bilan imzolaysiz va CA sertifikatini har bir profil ichida tarqatasiz. Keyin har bir mijoz serverni sizning organga qarshi tekshiradi va hech bir tashqi tomon xost nomini bilmaydi.

Xarajatlar real, ammo cheklangan. Kimdir boshqaruv sahifasini to'g'ridan-to'g'ri ochsa, brauzerlar ogohlantiradi, chunki brauzerning sizning CA ngizga ishonish uchun sababi yo'q. Profillarni tarqatish ishga qabul qilishning bir qismiga aylanadi va CA ni almashtirish har bir mijozga tegishni anglatadi. Bu o'n yoki ellik ma'lum foydalanuvchisi bor xizmat uchun maqbul narxlar va minglab foydalanuvchisi bor ommaviy oxirgi nuqta uchun og'riqli.

Bitta shart butun tartibni haqiqiy qiladi: tekshiruv amalga oshishi kerak. Sertifikat xatolarini e'tiborsiz qoldirishga sozlangan mijoz har qanday sertifikatni taqdim etadigan har qanday serverni qabul qiladi, shuning uchun shifrlash qoladi, shaxs kafolati esa yo'qoladi. Aynan shu sozlama "o'z-o'zidan imzolangan xavfsiz emas" degan hikoyalarning ko'pchiligidagi haqiqiy zaiflik.

CA ning shaxsiy kaliti keyinchalik nima qila olishingizni belgilaydi

Kutilmagan holat odatda bir necha oydan keyin, qurilma qo'shmoqchi bo'lganingizda yuz beradi. Mijoz sertifikatini chiqarish CA ning shaxsiy kalitini talab qiladi, bekor qilish ro'yxatini yaratish ham. Agar sertifikat va kalit fayllari bor, lekin CA kaliti yo'q serverni meros qilib olgan bo'lsangiz, yangi hech narsani imzolay olmaysiz. Variantlaringiz — PKI ni qayta qurish va har bir mijozga yangi CA sertifikatini berish yoki parol bilan autentifikatsiyaga o'tish; bu boshqa xavfsizlik modeli va yo'qolganini qaytarmaydi.

Xuddi shu hududda ikkita kichikroq tuzoq yashaydi. easy-rsa skriptlari siz ularni saqlaydigan katalogda turibsiz deb hisoblaydi, shuning uchun yo'q fayl xatosi odatda buzilgan o'rnatishni emas, noto'g'ri joyni bildiradi. Va faqat sertifikatlarga asoslangan dizayn mutlaqo qonuniy: oldindan bo'lishilgan kalitsiz mijoz sertifikatlarini talab qilishingiz mumkin, har bir mijozda bittasi bo'lsa va server zanjirni tekshirsa.

Butun jamoa uchun bitta umumiy mijoz sertifikati o'rniga har bir qurilma uchun bitta sertifikat chiqaring. Shunda yo'qolgan noutbuk sizga hammaga qayta chiqarish o'rniga bitta bekor qilishga tushadi.

Meros bo'lib qolgan narsani tekshiring

Har qanday o'zgarishni rejalashtirishdan oldin, sizda bor sertifikatni o'qing:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Agar chiqaruvchi sub'ektga teng bo'lsa, sertifikat o'z-o'zidan imzolangan, bu dizayn tanlovi, nuqson emas. Sanalar yangilash qachon birovning muammosiga aylanishini aytadi va siz yubormoqchi bo'lgan CA ga qarshi muvaffaqiyatli tekshiruv zanjirning biror mijoz sinab ko'rishidan oldin ishlashini tasdiqlaydi.

Keyin auditoriya va tarqatishga qarab tanlang: noma'lum brauzerlar boshqaruv sahifasiga ishonishi kerak bo'lsa ommaviy CA, har bir mijoz siz nazorat qiladigan profil olsa xususiy CA. Ikkala javobning hech biri boshqasidan ko'ra ko'proq shifrlanmagan.