Ẹ̀rí VPN tí ó fi ara rẹ̀ wé: kí ni ó túmọ̀ sí àti kí ni ó gbẹ́kẹ̀ lé

Ìgbàgbọ́ méjì ni ó ń fa ìpalára tí ó pọ̀ jù níbí: pé ẹ̀rí VPN tí ó fi ara rẹ̀ wé túmọ̀ sí pé a kò ṣe ìpamọ́ ọ̀nà àbáwọlé, àti pé fífi ohunkóhun tí ẹ̀rọ VPN béèrè sílẹ̀ ń kan VPN nìkan. Kò sí èyí tí ó dúró nígbà tí ó bá pàdé ìgbékalẹ̀ gidi. Ẹ̀rí tí ó fi ara rẹ̀ wé ń ṣàlàyé ìbáṣepọ̀ ìforígbárí, kì í ṣe ìdájọ́ ààbò, àti ìwọ̀n ìgbẹ́kẹ̀lé tí o fi kún un dá lórí ibi ìpamọ́ tí ó bá dé. Mo ti rí i tí ẹ̀ka ìrànwọ́ kan ń gbé gbòǹgbò olùpèsè wọ inú ẹ̀rọ Windows láti pa ìkìlọ̀ kan lẹ́nu, lẹ́yìn náà ó lo ọ̀sán gbogbo láti ṣàlàyé kí ni ó ṣe tí aṣàwákiri fi dá ẹ̀sùn kíkùn nípa ojú-ẹ̀kọ́ tí kò ní ìbáṣepọ̀. Àwọn ìlà méjì ti ìbéèrè yìí wà pọ̀, nítorí náà kà wọ́n bí ọ̀kan.

Ẹ̀rí kì í ṣe ibi ìpamọ́ ìgbẹ́kẹ̀lé

Fáìlì tí olùpèsè ń gbé kalẹ̀ ń gbé kọ́kọ́rọ́ gbangba, orúkọ kókó, orúkọ olùgbéjáde, àwọn ọjọ́ ìwúlò àti àwọn ìfàánù. Tí ó fi ara rẹ̀ wé túmọ̀ sí pé kókó àti olùgbéjáde jẹ́ ẹnìkan náà àti pé a ń fi kọ́kọ́rọ́ ẹ̀rí náà fúnra rẹ̀ ṣàyẹ̀wò ìforígbárí. Kò sí ohunkóhun nínú ìtumọ̀ yẹn tí ó sọ pé ìsopọ̀ jẹ́ aláìlera, kò sì sí ohunkóhun tí ó sọ pé ẹ̀rọ náà yóò gbà á.

Ìgbàwọlé ń wá láti ibòmíì: fáìlì CA tí o ń tọ́ ẹ̀rọ náà sí, àmì ìka tí o ń fi ọwọ́ wé, tàbí gbòǹgbò tí ó ti wà nínú ibi ìpamọ́ tí ẹ̀rọ náà ń kà. Ìgbékalẹ̀ lè wà ní àlàáfíà pátápátá nígbà tí ẹ̀rí rẹ̀ yóò kùnà nínú gbogbo ìdánwò gbangba. openssl verify lórí ìdìpọ̀ ẹ̀rọ yóò jábọ̀ olùgbéjáde tí a kò mọ̀, àti ìjábọ̀ yẹn tọ́, kì í ṣe àbùkù.

Àṣàyàn ca OpenVPN ni ìṣẹ̀lẹ̀ tí ó yé jùlọ ti ìgbẹ́kẹ̀lé tí ó ní ààlà sí ohun èlò. Fáìlì yẹn ń dárúkọ àwọn ìdákọ̀ tí ẹ̀rọ náà yóò gbà, ó sì lè ní CA aládàáni kan tàbí nínú ìgbékalẹ̀ kékeré ẹ̀rí tí ó fi ara rẹ̀ wé ti olùpèsè fúnra rẹ̀. Ẹ̀yà 2.6 tún gba --peer-fingerprint láti fi àmì ìka SHA-256 sílẹ̀ dípò pínpín fáìlì CA. WireGuard wà ní ọ̀nà jíjìn sí i: kò ní ẹ̀rí rárá, kọ́kọ́rọ́ gbangba aláìyẹsẹ̀ kan péré fún ẹlẹ́gbẹ́ kọ̀ọ̀kan, nítorí náà ìbéèrè ìfi ara rẹ̀ wé kò kan òun.

Ibi tí o ti fi ìgbẹ́kẹ̀lé sílẹ̀ ni ó ń pinnu ẹni tí yóò jogún rẹ̀

Fi ẹ̀rí kan náà sí ibi mẹ́ta, ìwọ yóò rí àwọn ìlà ìbúgbàù mẹ́ta tí ó yàtọ̀. Ìdìpọ̀ tí ẹ̀rọ VPN nìkan ń kà ń kan ẹ̀rọ yẹn. Gbòǹgbò nínú ibi ìpamọ́ ẹ̀rọ ìṣiṣẹ́ ń kan gbogbo ètò tí ó ń gbà ìmọ̀ràn lábẹ́ ibi ìpamọ́ yẹn. Aṣàwákiri tí ó ní àkójọpọ̀ ìgbẹ́kẹ̀lé tirẹ̀ lè fojú kọ méjèèjì, ìdí niyẹn tí ìkìlọ̀ lè wà lẹ́yìn ìgbéwọlé tí ó dà bí ẹni pé ó ṣiṣẹ́.

Lórí Debian tàbí Ubuntu, fífi fáìlì sí /usr/local/share/ca-certificates/ àti ṣíṣe update-ca-certificates ń yí ìdìpọ̀ gbogbo ẹ̀rọ padà. Lórí Windows, certutil -addstore -f Root ń kọ sínú ibi ìpamọ́ ẹ̀rọ, ó sì nílò ìtọ́ni tí a gbé sókè, nígbà tí fífi -user kún un ń tọ́ ibi ìpamọ́ olùmúlò lọ́wọ́lọ́wọ́. Àwọn méjèèjì kò lè paarọ̀ fún ara wọn. Firefox ń tọ́jú àkójọpọ̀ NSS tirẹ̀, nítorí náà ìgbéwọlé ní ìpele OS lè máà farahàn níbẹ̀ rárá.

Ìwọ̀n ṣe pàtàkì nítorí ohun tí aláṣẹ kan lè ṣe. CA tí ó ń gbéjáde lè fi orúkọ tí kò ní ìbáṣepọ̀ kankan wé, nítorí náà ohunkóhun tí ó gbẹ́kẹ̀lé ibi ìpamọ́ yẹn yóò gba àwọn ìforígbárí yẹn. Ẹ̀wé kan tí a fìdí mú kò lè ṣe bẹ́ẹ̀; ó ń jẹ́rìí ìdánimọ̀ ẹlẹ́gbẹ́ kan péré. Bí èròǹgbà bá ni láti so VPN kan pọ̀, CA tí ó ní ààlà sí ohun èlò tàbí ẹ̀wé tí a fìdí mú dé ibẹ̀, nígbà tí gbòǹgbò gbogbo ẹ̀rọ jẹ́ ìyọ̀ǹda tí ó tóbi ju ohun tí àmì àìsàn náà béèrè lọ.

Ìwọ ṣì ń ṣe ìpamọ́ láìsí CA gbangba

Ìfọwọ́wé TLS ń mú àwọn kọ́kọ́rọ́ ìpàdé jáde bóyá ẹ̀rí ẹlẹ́gbẹ́ náà so mọ́ ohun tí o ti gbẹ́kẹ̀lé tẹ́lẹ̀ tàbí rárá. Ìfi ara rẹ̀ wé kò túmọ̀ sí ọ̀rọ̀ tí ó ṣe kedere, kò sì túmọ̀ sí pé a lè ka ìrìnàjò náà nígbà tí ó ń fò. Ó túmọ̀ sí pé ẹ̀rọ náà kò ní ìdí àkọ́kọ́ láti gbà pé kọ́kọ́rọ́ náà jẹ́ ti olùpèsè tí ó béèrè.

Nínú àlàfo yẹn ni àwọn ìkọlù gidi ń gbé. Ẹ̀rọ tí a ṣètò láti gba ẹ̀rí èyíkéyìí, yálà nípasẹ̀ ètò àyẹ̀wò tí a ti pa tàbí nípasẹ̀ bọ́tìnì gbà-bó-tí-ó-là tí a tẹ̀ lẹ́ẹ̀kan tí a sì gbàgbé, yóò fi ìdùnnú ṣe ìpamọ́ fún ẹnikẹ́ni tí ó dáhùn. Ìdádúró ń ṣẹlẹ̀ ní ìpele ìjẹ́rìí, kí dátà ohun èlò tó lọ. Ìpamọ́ láìsí àyẹ̀wò ìdánimọ̀ ń dá àwòkọ́ṣe tí kò ṣe é sílẹ̀, kò sì ṣe púpọ̀ mìíràn.

Ìgbẹ́kẹ̀lé olùgbéjáde kò gbà àyẹ̀wò orúkọ kọjá

Ìjẹ́rìí ẹ̀wọ̀n, ìbámu orúkọ àti ète ẹ̀rí jẹ́ àwọn ìpinnu ọ̀tọ̀ọ̀tọ̀. Ẹ̀wọ̀n lè wà ní ìtẹ́wọ́gbà nígbà tí orúkọ kò tọ́, orúkọ sì lè bámu nígbà tí a ti gbé ẹ̀rí jáde fún ipa mìíràn. RFC 5280 ń ṣàlàyé àwọn pápá tí ó gbé àwọn ààlà wọ̀nyí, àti bí ẹ̀rọ ṣe ń fi wọ́n ṣiṣẹ́ lórí ẹ̀kọ̀ọ̀kan jẹ́ ọ̀rọ̀ ohun èlò kọ̀ọ̀kan.

OpenVPN ń jẹ́ kí ìpínyà náà hàn. verify-x509-name ń fìdí kókó tí a retí mú nípasẹ̀ ìbámu name, name-prefix tàbí subject. remote-cert-tls server ń béèrè pé kí ẹ̀rí ẹlẹ́gbẹ́ lè ṣiṣẹ́ gẹ́gẹ́ bí ẹ̀rí olùpèsè, èyí tí ó kọ ẹ̀rí ẹ̀rọ nìkan sílẹ̀ pàápàá nígbà tí a gbẹ́kẹ̀lé olùgbéjáde. Kò sí ètò kankan nínú àwọn méjèèjì tí a fi rọ́pò rẹ̀ nípasẹ̀ fífi fáìlì CA ránṣẹ́.

Ṣàyẹ̀wò ẹ̀rí náà kí o tó pinnu ohunkóhun:

• openssl x509 -in server.crt -noout -subject -issuer -dates -ext subjectAltName fi hàn ẹni tí ó gbé e jáde, fún àwọn orúkọ wo àti títí dé ìgbà wo.
• openssl verify -CAfile ca.crt server.crt ṣàyẹ̀wò bóyá ẹ̀wọ̀n tí o ń lọ rán náà ń jẹ́rìí ewé náà ní tòótọ́.
• openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -CAfile ca.crt -verify_return_error ń ṣiṣẹ́ fún àwọn ibi ìparí TLS bí ojú-ẹ̀kọ́ wẹ́ẹ̀bù; ìlànà OpenVPN lórí 1194 kì í ṣe ìṣàn TLS lásán, nítorí náà ìdánwò yẹn kò ní í ṣiṣẹ́ níbẹ̀.

Ẹ̀rí tí ó ní ọjọ́ tí ó ti kọjá, tí kò ní subjectAltName fún orúkọ tí o ń so pọ̀, tàbí tí kò ní ìlò serverAuth yóò kùnà bóyá bí a ti fi ìṣọ́ra gbé ìdákọ̀ náà kalẹ̀.

Àyẹ̀wò márùn-ún kí o tó gba ọ̀kan

Fi àmì ìka wé nípasẹ̀ ọ̀nà tí kì í ṣe ìsopọ̀ tí o ń gbìyànjú láti túnṣe: kọ́nsólì kan, olùfiṣẹ́ tí o ti ní, fáìlì ìṣètò tí a fi ọwọ́ sí. openssl x509 -in server.crt -noout -fingerprint -sha256 lórí olùpèsè àti iye kan náà nínú àkọsílẹ̀ ẹ̀rọ tó láti mọ̀ pé ohun kan ni o ń wò.

Lẹ́yìn náà pinnu ohun tí o ń fi sílẹ̀: ẹ̀wé kan tàbí aláṣẹ tí ó lè ṣe síi. Lẹ́yìn náà pinnu ibi tí ó ń lọ, kí o sì dárúkọ àwọn ohun èlò tí ó ń ka ibi ìpamọ́ yẹn. Kọ ọ̀nà ìyọkúrò náà nígbà tí o ṣì rántí rẹ̀, nítorí gbà-kí-o-tẹ̀síwájú ni ọ̀nà tí ìgbéwọlé ìgbà díẹ̀ fi di ti pẹ́.

Níkẹyìn, gbèrò ìyípadà náà. Ẹ̀rí tàbí àmì ìka tí a fìdí mú gbọ́dọ̀ jẹ́ ìmúdójúìwọ̀n nípasẹ̀ ọ̀nà tí a gbẹ́kẹ̀lé kan náà nígbà tí ẹ̀rí bá yí, àti CA aládàáni ní àyípoyípo ìgbéjáde àti ìfagilé tirẹ̀. Bí kọ́kọ́rọ́ aládàáni bá jo, gbígba ẹ̀dà ẹ̀rí kan náà lẹ́ẹ̀kan sí i kò tún ohunkóhun ṣe; a gbọ́dọ̀ rọ́pò ìdánimọ̀ náà.

Bí ìkìlọ̀ bá là já àwọn àyẹ̀wò márùn-ún, ìbéèrè tí ó wúlò kì í ṣe bọ́tìnì wo ni ó pa á lẹ́nu, bí kò ṣe ibi ìpamọ́ wo ni ẹ̀rọ náà ń kà gan-an àti ibi tí gbòǹgbò yẹn ti wá. Dáhùn sí èyí, ìgbéwọlé tí o ń ṣe yóò sì di ìpinnu dípò ìhùwàsí.