Nega ca.key faylini har bir VPN mijoziga ko’chirish CA-ni buzadi
Mijoz CA ning ochiq sertifikatini tekshiradi; imzolovchi kalit unga hech qachon kerak emas. ca.key faylini har bir qurilmaga ko’chirish bitta nusxani olgan har kimga chiqarish huquqini beradi.
O’rnatish yo’riqnomasining bir joyida qaysi fayllar u yerga tegishli ekanini hal qilishdan osonroq bo’lgani uchun butun katalog har bir noutbukka to’liq ko’chiriladi. O’sha katalogda ca.key bor va u ikkinchi qurilmaga yetgan lahzada sertifikat organi organ bo’lishdan to’xtaydi. Endi har qanday egalik qiluvchi tarmoqning qolgan qismi ishonadigan identifikatsiyalarni chiqara oladi.
Bu chalkashlikni bir marta hal qilishga arziydi, chunki ikki fayl ko’rinishdan o’xshash, ishda esa qarama-qarshi.
Tekshirish materiali va imzolash materiali
Mijozga CA ning ochiq sertifikati kerak bo’ladi, chunki qarshi tomon taqdim etgan sertifikat shu organ tomonidan imzolanganini tekshiradi. Bu tekshirish ishi va u hech qanday sir talab qilmaydi. Qarshi tomon sertifikatini imzolash boshqa ish bo’lib, uni CA ni boshqaradigan shaxs bir marta, himoyalangan omboridan hech qachon chiqmaydigan maxfiy kalit bilan bajaradi. Bu ikki ishni ajratib turish ikki fayl yuborishning butun mazmunidir.
Shuning uchun ca.crt profilga tegishli, ca.key esa uning yoniga hech qayerga tegishli emas. Fayl nomlari odat, kafolat emas, shuning uchun turni nomdan taxmin qilmasdan tekshirish kerak.
Oraliq CA yoki onlayn chiqarish xizmati bo’lgan arxitektura bundan mustasno emas. Qurilma sertifikatlarini keng miqyosda chiqarar ekan, imzolash qobiliyatini oxirgi nuqtalardan uzoqda tutishning standart usuli shu.
Mijoz o’z kaliti bilan nima isbotlashi kerak
Har bir qurilma o’z kalit juftini va o’z sertifikatini oladi, uni CA bir marta imzolaydi. Mijoz o’sha sertifikatni taqdim etib, mos maxfiy kalitga ega ekanini isbotlaydi, server esa qabul qilish-qilmaslikni hal qiladi. Noutbuk yo’qolganda bekor qilinadigan identifikatsiya shu.
Bu farq o’g’irlikdan keyin eng muhim. Har bir qurilma uchun alohida identifikatsiya bo’lsa, ochilgan bitta mijoz bekor qilish yoki qarshi tomonni olib tashlash bilan chiqariladi, flotning qolgan qismi ishlashda davom etadi.
Oqib ketgan organ kalitini bunday boshqarib bo’lmaydi. U qachonlardir imzolagan yoki imzolashi mumkin bo’lgan har bir sertifikat shubhali bo’lib qoladi, shuning uchun javob bitta bekor qilish emas, ishonchni almashtirishdir. Bu loyiha, bilet emas.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Faylni biror joyga ko’chirishdan oldin uni o’qing
Ikki buyruq hech qanday sirni chiqarmasdan qo’lingizda qanday turdagi obyekt borligini aytadi. Birinchisi sertifikatdagi subyekt va CA belgisini ko’rsatadi; ikkinchisi kalitni tekshirib, uning turini bildiradi. Ikkalasini ham tarqatmoqchi bo’lgan to’plamdagi fayllarda ishga tushiring. Maxfiy kalit sifatida tasdiqlanadigan hech narsa mijoz katalogiga tegishli emas.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Agar ikkinchi buyruq mijoz to’plamidagi faylda muvaffaqiyatli bajarilsa, to’xtang va to’plamni buzilgan deb hisoblang. Kalit yaroqli deb aytadigan natija uning mavjudligini ham aytadi, va aynan mavjudlik butun muammodir.
Qarama-qarshi yo’nalishga ham e’tibor bering: mijoz profili o’sha mijozning o’z maxfiy kalitini qonuniy ravishda saqlaydi. Topilgan har bir kalitni o’chirish hech narsani yaxshilamasdan ulanishni uzadi, shuning uchun obyektni olib tashlashdan oldin aniqlash kerak.
Allaqachon tarqatilgan kalitni cheklash
Mahalliy nusxani o’chirish oshkor bo’lishni qaytarmaydi deb o’ylamang. Fayl kimda bo’lgan bo’lsa, u nusxa ko’chirgan bo’lishi mumkin, xavfsiz taxmin esa uni ko’chirganidir. Operatorning hodisalar tartibiga amal qiling va ishonch langarini almashtiring, qurilma sertifikatlarini yangi CA ostida qayta chiqarib.
So’ngra muammoni keltirib chiqargan qadoqlashni o’zgartiring. Fayllarning aniq ruxsat ro’yxati bilan katalog ro’yxatini yuboring, CA kalitini hech qachon mijoz flotiga qo’shilmaydigan mashinada saqlang va uni qaysi tizim saqlashini yozib qo’ying.
Agar organ tez-tez chiqarishi kerak bo’lsa, imzolashni tor qamrovli va qisqa amal muddatli xizmat yoki oraliq organ orqasiga o’tkazing. Shunday qilib kelajakdagi xato butun joriy etishning ishonch ildizini emas, chiqarishning bir qismini oshkor qiladi.