Ikhompyutha yakho ye-VPN ihlola ini ngaphambi kokuthemba isitifiketi

Iklayenti lakho le-VPN lithi isitifiketi asikwazanga ukuqinisekiswa, futhi ingxoxo iyaphela lapho. Ifayela likhona, iseva iyasebenza, futhi iphrofayela efanayo yasebenza kwelinye ikhompyutha ephathwayo ngenyanga edlule. Ngaphansi kwalolo sexwayiso somugqa owodwa iklayenti ladlulisa isitifiketi sozakwenu emasangweni amane: isiphathimandla sesitifiketi osimisile siqinisekisa indlela yesiginesha, leyo ndlela ifinyelela isiphathimandla, igama lozakwenu yilona olikucelile, futhi isitifiketi manje siyasebenziseka kule njongo. Thola isango elivalekile futhi ukulungisa ngokuvamile kuyifayela elilodwa; uma weqa leso sinyathelo uzophinda ungenise amabhande ntambama yonke.

Funda ingxoxo ngaphambi kokuhlela iphrofayela

Amaphutha esitifiketi abhalwa yilabhulali engaphansi, hhayi umkhiqizo we-VPN oyifakile, ngakho uhlu olunembile luyibufakazi bakho bokuqala. «Ayikwazi ukuthola isitifiketi somkhiphi wendawo» kukhombisa indlela noma ingcindezi yokwethemba. «Isitifiketi siphelelwe yisikhathi noma asikasebenzi» kukhombisa isikhathi. «Injongo yesitifiketi ayisekelwe» kukhombisa ukusetshenziswa kokhiye okunwetshiwe. Ukungafani kwegama kukutshela ukuthi yiliphi igama ebelilifuna. Akukho kukho lokhu kune elilungiswa ngokufaka kabusha iklayenti.

Khuphula izinga lokuloga ngaphambi kokushintsha noma yini. OpenVPN libika ukwehluleka kokuqinisekisa eduze kokuxhawula uma uyisebenzisa nge --verb 4, futhi i-strongSwan ibhala izinqumo zayo zobunikazi nochungechunge kuloja ye-charon. Bese uqinisekisa ukuthi yisiphi isitifiketi osihlolayo, ngoba abantu bavame ukuhlola ifayela elikudiski kuyilapho iphrofayela ifaka ikhophi endala ngaphakathi. Uma iphrofayela ifaka amabhulokhi e-PEM, isitifiketi esifakiwe siyona esihlolwayo.

Isiphathimandla sesitifiketi sisayina ubunikazi, hhayi izimvume

Isiphathimandla sinegama nokhiye wokusayina. Sikhipha izitifiketi ezihlanganisa ukhiye womphakathi nalelo gama ngaphansi kwenqubomgomo yaso, kanye nesikhathi sokusebenza nemikhawulo yokusetshenziswa. Iklayenti lakho lidinga kuphela isitifiketi sesiphathimandla ukuze sibone umkhiphi; aliwudingi neze ukhiye wokusayina, futhi ukuthumela lowo khiye kumaklayenti kunganika wona amandla okwakha noma yibuphi ubunikazi okuthenjwa ukusatshalaliswa.

Ukwethemba isiphathimandla kwenza zonke izitifiketi esizisayinile zibe abazobangenelela, hhayi ozakwenu ofanele. Isitifiketi seseva yewebhu esivela ku-CA yasekhaya efanayo naso siyabangenelela. Yingakho amasango egama nenjongo ekhona, futhi yingakho ukhiye we-CA ohlanekezelwe ubaluleke ukudlula noma iyiphi iseva eyodwa: ufinyelela kubunikazi bonke esiphathimandla esake sakhipha. Khipha izitifiketi zamaklayenti ngedivayisi ngayinye, ukuze ikhompyutha ephathwayo elahlekile kube ukuhoxiswa okukodwa esikhundleni sokwakhiwa kabusha kokhiye kukho konke ukusatshalaliswa.

Yakha kabusha indlela iklayenti elizama ukuyakhayo

Indlela iqala esitifiketini sozakwenu, idlule kuziro noma eziningi izitifiketi eziphakathi, iye empandeni esitolo sakho sokwethemba. Isitifiketi esiphakathi esingekho yikhona okungukuhluphala kochungechunge okuvame kakhulu, futhi ngasohlangothini lweklayenti kubonakala kufana ncamashi nempande engathenjwa. Funda iqabunga kuqala, bese uvumela i-OpenSSL ukuthi yakhe indlela ngezinto ozimisele ukuzithumela.

openssl x509 -in server.crt -noout -subject -issuer -dates
openssl verify -CAfile root.crt -untrusted intermediate.crt server.crt
openssl verify -show_chain -CAfile root.crt -untrusted intermediate.crt server.crt

Isimo sokuphuma esingu-zero sisho ukuthi indlela yakhiwe ngalawo mafayela; ukwehluleka kubiza isitifiketi engakwazanga ukusifinyelela. Uma i-openssl verify iphumelela kuyilapho iklayenti lisala, umehluko usendleleni iseva ethumela ngayo ngempela noma kufayela lokwethemba elilayishwa yiphrofayela. Ku-OpenVPN izitifiketi eziphakathi zingahamba nefayela lesitifiketi seseva noma zinikezwe ngokwahlukana nge --extra-certs, futhi ibhande elinepande ezimbili ezibhalwe ngaphansi kwegama lesihloko elilodwa lizothumela elinye lamaklayenti akho egatsheni elingalungile.

Igama nenjongo zingamasango ahlukene

Ukwakhiwa kochungechunge akukaze kubuza ukuthi igama ngelakho yini. I-OpenVPN ilibheka kuphela uma iphrofayela isetha i---verify-x509-name, futhi umkhuba omdala wokuqondanisa igama elivamile kuphela uyaphuka ezitifiketini ezinobunikazi obuhlala ku-subjectAltName. Ukusatshalaliswa kwe-IKEv2 kuqondanisa ubunikazi obusethiwe namafayela e-SAN noma negama elihlukile, kuye ngeklayenti, futhi inani le-wildcard noma i-%any licisha buthule ukuqhathanisa owawucabanga ukuthi unakho.

Bese kufika isikhathi nenjongo. Ikhompyutha ephathwayo ewashi layo lishesha ngamahora ambalwa iyala isitifiketi esingakasebenzi, futhi isitifiketi esiphakathi esiphelelwe yisikhathi sehlula indlela kuyilapho iqabunga lisebenza. Ukwehluleka kwenjongo kuvela esitifiketini esingenawo i-serverAuth ekusetshenzisweni kokhiye okunwetshiwe, noma esine-keyUsage engakuvumeli ukusayina kokuxhawula, okuyinto i-OpenSSL eyibika njengenjongo yesitifiketi engasekelwe. Khipha futhi ngokwesifanekiso esifanele; akukho lutho kulo mlayezo oyisizathu sokuvala ukuqinisekisa.

Ukuhoxiswa kusebenza kuphela uma othile ekusethile

I-CRL noma impendulo ye-OCSP ayibuzwa ngokuzenzakalela. Kuseseva ye-OpenVPN, izitifiketi zamaklayenti ziqhathaniswa nohlu kuphela uma i---crl-verify ikhomba kulo. Ukuhlolwa kwesitifiketi seseva ngasohlangothini lweklayenti kuncike ekusetshenzisweni futhi ngokuvamile akukho. I-strongSwan idinga isengezo sayo sokuhoxiswa nenqubomgomo ngaphambi kokubheka i-CRL kozakwenu.

Yikho okuchaza ithikithi ozoluthola ekugcineni: isitifiketi seklayenti esihoxisiwe sisaxhuma, futhi wonke umuntu uphetha ngokuthi ukuhoxiswa kuphukile. Akukho okwakuhlola. Shicilela futhi uvuselele i-CRL, noma gcina izitifiketi zamaklayenti zinesikhathi esifushane ngokwanele ukuthi ukuhoxiswa okudala kubaluleke isikhashana, futhi uzilolonge indlela yokuhoxiswa esitifiketini saselabhorethri ngaphambi kokuba uyidinge ngesikhathi sezigameko.

Ukulandelana kokulungisa okugcina ukuqinisekisa kuvuliwe

Hlela ngezimpawu ngaphambi kokuthinta amafayela, ngoba umugqa ngamunye wethebula ukuthumela entweni ehlukile.

Hamba uhlu ngokuphelele kanye: qinisekisa ifayela elilayishwa yiphrofayela, yakha indlela ngokwakho, hlola ukuthi iseva iyayithumela isitifiketi esiphakathi, qhathanisa iwashi, funda i-SAN, funda i-EKU, bese uxhuma futhi ubuke umugqa ofanayo welogi unyamalala. Uma idivayisi ingakwazi ukuthola i-CA nhlobo, i-pinning iyindlela enenjongo, ngoba i-OpenVPN 2.6 yamukela i---peer-fingerprint futhi inciphisa ukwethemba kukhiye oyedwa esikhundleni sokususa ukuhlolwa. Incwadi yokubhekisela yencazelo yalezi zinkambu ngayinye yi-RFC 5280.