Isitifiketi Sokuzisayina Noma i-CA Yomphakathi ye-VPN: Yini Empeleni Eshintshayo

Ufika ekhasini lezitifiketi lokuhlelwa kwe-VPN, ubona ukukhetha kwamahhala kokuzisayina eduze kwe-CA yomphakathi ekhokhelwayo, futhi umbuzo uzwakala njengokukhetha kwezokuphepha. Empeleni ukukhetha kwabalaleli. Zombili izinketho zibethela umhubhe ngezinto eziyisisekelo ezifanayo, futhi zombili ziba zingenamsebenzi uma ukhiye wangasese uphuma. Okuhlukanisa kukho ukuthi ubani wenza isimemezelo mayelana nobuwena besiva, nokuthi ubani osesimweni sokuhlola leso simemezelo.

Isitifiketi senza imisebenzi emibili edidaniswa

Isitifiketi sihlanganisa ukhiye womphakathi negama, futhi ukhiye wenza umsebenzi wokubethela nokwesayina. Isiginesha esekhasini lesitifiketi isitatimende esihlukile: isiphathimandla esithile siqinisekisile ukuthi igama lingelomnikazi walo khiye. Isitifiketi sokuzisayina senza leso sitatimende ngokwaso, okuwona neze umbono wengxenye yesithathu.

Amakhasi ewephu omphakathi adinga inguqulo yengxenye yesithathu, ngoba izivakashi zifika zingenabo ubudlelwano bangaphambili futhi zithembele esitolo sokuthembela sesiphequluli. Iklayenti le-VPN akusiyo isihambi. Uyinikeza isitifiketi se-CA, noma ubophela isitifiketi sesiva, ngaphakathi kwephrofayela eyifakayo, ngakho ukuqinisekisa kwenzeka ngqo kubaphathi obakhethile. Akukho CA yezentengiselwano okufanele ibandakanyeke ukuze lokho kuhlola kube nencazelo.

Amandla esikhathi esiwumphumela avela kubukhulu bokhiye nasethuluzini lokubethela, hhayi kumuntu osayinayo. Yingakho ukubiza isitifiketi sokuzisayina ngokuthi "kubethelwe kancane" kumane kuyiphutha; siqinisekiswa kancane ngobubanzi, okuyisici esihlukile.

Lapho i-CA yomphakathi izuza khona imali yayo

Icala elicacile kakhulu ikhasi lokuphatha. Uma ozakwethu, osonkontileka noma noma ubani ongenayo iphrofayela elungisiwe kufanele avule isixhumanisi sewephu sesiva se-VPN ngaphandle sexesho sesiphequluli, isitifiketi esithembekile esidlangalaleni sisusa lokho kuhlikihla. Isiphequluli sesivele sithemba umsayini, ngakho akukho okufanele kungeniswe futhi akukho okufanele kuchazwe.

Lokho kusetshenziswa kunezindleko okufanele zishiwo ngaphambi kokuthenga. Ukuvuselela kufanele kwenziwe ngokuzenzakalela, ngaphandle kwalokho isiza siyaphuka ngokuhlela, izitifiketi zomphakathi zidalula igama lomsingathi kumarekhodi okusobala kwezitifiketi, futhi imikhawulo yesivinini sokukhishwa ijezisa iskripthi esizama kabusha ngentshiseko enkulu. Akukho kulokhu okuyisizathu sokugwema i-CA yomphakathi, kodwa kuwumsebenzi wokusebenza othathelwa kwenye indawo yi-CA yangasese.

Into isitifiketi somphakathi esingayenzi ukuqinisekisa abasebenzisi bakho. Ubuwena beklayenti isinqumo esihlukile, esithathwa ngezitifiketi zeklayenti, amaphasiwedi noma isici sesibili, futhi i-CA esayina isiva ayisho lutho mayelana nokuthi ubani ovunyelwe ukuxhuma kuyo.

Lapho i-CA yangasese ifanela khona i-VPN

Kwi-VPN yangasese eneqoqo leklayenti elaziwayo, ukuqhuba i-CA yakho kuwukukhetha okuvamile. Wakha i-CA kanye, usayina isitifiketi sesiva ngegama elizosetshenziswa amaklayenti, futhi usabalalisa isitifiketi se-CA ngaphakathi kwephrofayela ngayinye. Ngemuva kwalokho iklayenti ngalinye liqinisekisa isiva ngokumelene nesiphathimandla sakho, futhi akukho ngxenye yangaphandle eyaziyo igama lomsingathi.

Izindleko zingempela kodwa zilinganiselwe. Izinekezeli zizokwexwayisa uma othile evula ikhasi lokuphatha ngqo, ngoba isiphequluli asinaso isizathu sokuthemba i-CA yakho. Ukusatshalaliswa kwephrofayela kuba yingxenye yokwamukelwa, futhi ukushintsha i-CA kusho ukuthinta iklayenti ngalinye. Lokho kuyizintengo ezamukelekayo zensiza enabasebenzisi abaziwayo abayishumi noma abangamashumi amahlanu futhi kubuhlungu endaweni yokugcina yomphakathi enezinkulungwane.

Isimo esisodwa senza lonke uhlelo lusebenze: ukuqinisekisa kufanele kwenzeke. Iklayenti elilungiselelwe ukushaya indiva amaphutha esitifiketi lamukela noma isiphi isiva esethula noma isiphi isitifiketi, ngakho isiqinisekiso sobuwena siyanyamalala kuyilapho ukubethela kusekhona. Leso silungiselelo siwubuthakathaka bangempela ezingxoxweni eziningi zokuthi "okuzisayina akuphephile".

Ukhiye wangasese we-CA unquma okuzokwenza kamuva

Isimanga sivamise ukuza ezinyangeni ezimbalwa kamuva, lapho ufuna ukwengeza idivayisi. Ukukhishwa kwesitifiketi seklayenti kudinga ukhiye wangasese we-CA, kanjalo nokukhiqiza uhlu lokuhoxiswa. Uma uzuzwe njengefa isiva esinamafayela esitifiketi nokhiye kodwa singenawo ukhiye we-CA, awukwazi ukusayina noma yini entsha. Izinketho zakho ukwakha kabusha i-PKI nokunikeza iklayenti ngalinye isitifiketi esisha se-CA, noma ukushintshela ekuqinisekiseni ngephasiwedi, okuyimodeli ehlukile yezokuphepha futhi engabuyiseli lokho okulahlekile.

Izicupho ezimbili ezincane zihlala endaweni eyodwa. Izikripthi ze-easy-rsa zicabanga ukuthi umi kufolda ewaziqukethe, ngakho iphutha lefayela elingekho livamise ukusho indawo engalungile hhayi ukufakwa okonakele. Futhi umklamo wezitifiketi kuphela usemthethweni ngokuphelele: ungadinga izitifiketi zeklayenti ngaphandle kokhiye owabiwe ngaphambili, inqobo nje uma iklayenti ngalinye linalo futhi isiva siqinisekisa uchungechunge.

Khipha isitifiketi esisodwa ngedivayisi ngayinye esikhundleni sesitifiketi seklayenti esisodwa esabiwe eqenjini lonke. Khona-ke ilaptop elahlekile izokubiza ukuhoxiswa okukodwa esikhundleni sokukhishwa kabusha kwabo bonke.

Hlola lokho okuzuze njengefa

Ngaphambi kokuhlela noma yiluphi ushintsho, funda isitifiketi osuvele unaso:

$ openssl x509 -in server.crt -noout -subject -issuer -dates
subject=CN = vpn.example.net
issuer=CN = vpn.example.net
notAfter=Nov  3 09:00:00 2027 GMT
$ openssl verify -CAfile ca.crt server.crt
server.crt: OK

Uma umkhiphi elingana nesihloko, isitifiketi sokusayina ngokwaso, okuwukukhetha komklamo hhayi iphutha. Izinsuku zikutshela ukuthi ukuvuselela kuzoba yinkinga kabani nini, futhi ukuqinisekisa okuphumelelayo ngokumelene ne-CA ohlela ukuyithumela kuqinisekisa ukuthi uchungechunge luyasebenza ngaphambi kokuba iklayenti elilodwa lizame.

Bese ukhetha ngokwabalaleli nokusatshalaliswa: i-CA yomphakathi uma iziphequluli ezingaziwa kufanele zithembe ikhasi lokuphatha, i-CA yangasese uma iklayenti ngalinye lithola iphrofayela oyilawulayo. Akukho mpendulo kulezi ezimbili obethelwe ngaphezu kolunye.