ESP32 WireGuard açarları: hər cihaza ayrı, yoxsa bir ümumi açar?

Eskiz WireGuard şəxsi açarını simvol massivinə qoyur və tunel işləyir, ona görə sual təkrarlanır. Əslində verməli olduğunuz qərar «bu təhlükəsizdirmi» deyil, «bu yerləşdirməyə üç şərtdən hansı aiddir» sualıdır. Onlar bunlardır: cihazı fiziki olaraq kim saxlaya bilər, sizin hissənizdə fləş oxunuşu nə verir və donanma bir açarı paylaşır, yoxsa hər biri öz açarını daşıyır. Bunlara cavab verin və dizayn arxasınca gələcək, çünki hər biri sızmış açarın dəyərini dəyişir, sızma ehtimalını yox.

Açar nəyə icazə verir

WireGuard həmkarları açıq açarla doğrulayır. Server hər həmkarın açıq açarını bir ünvana və AllowedIPs siyahısına uyğunlaşdırır, ona görə müştəriyə həmin ünvandan trafik göndərməyə imkan verən şəxsi açardır.

Eyni giriş cihazın hansı təyinat nöqtələrinə çata biləcəyini müəyyən edir, ona görə sızmış açar tunel ünvanı ilə yanaşı tunelin arxasındakı şəbəkəni də açır.

Birinci şərt: cihazı kim saxlaya bilər

Vahid bağlı şkafda qalırsa və komandanızdan kimsə ona toxunmursa, məruz qalma əsasən proqram təminatının paylanması məsələsidir. Əgər müştərilərə göndərilirsə, avtomobildə durursa və ya zəmanətlə geri qayıdırsa, fiziki sahiblik etimad sənədi, ikili faylın məxfiliyi isə ikinci dərəcəlidir. Cihazı saxlayan şəxs açarı oxumağa ehtiyac duymur, çünki işləyən proqram təminatı onun üçün tuneli açacaq. Ona görə server tərəfinin cavabı yalnız qorunan obrazı deyil, ləğvi və məhdud ömrü də əhatə etməlidir.

Bu şərti digər ikisindən əvvəl həll edin, çünki hər ikisi üçün büdcəni o müəyyən edir.

İkinci şərt: fləş oxunuşu nə verir

Fləş obrazını oxuya bilən hər kəs literal kimi saxlanmış açarı bərpa edir: sazlama bağlantısı, yeniləmə faylı, ehtiyat nüsxə və ya qaytarılmış vahid vasitəsilə. Fləş şifrələməsi birbaşa çıxarmanın dəyərini artırır və ESP-IDF sənədləri funksiyanın müəyyən hissə və konfiqurasiya üçün nəyi əhatə etdiyini izah edir. O, açarı hər hücum modelində çıxarıla bilməz etmir və cihaz əldədir halına heç nə etmir. Onu dəyəri dəyişən bir qat kimi qəbul edin, cavab kimi yox.

Dizayn baxışında bir xassə iddia etməzdən əvvəl dəqiq çipiniz və konfiqurasiyanız üçün platforma sənədlərini oxuyun.

Üçüncü şərt: donanmada təkrar istifadə

İstehsal dövrü üçün bir açar hər vahidin eyni şəxsiyyəti paylaşması deməkdir. Server onları jurnallarda ayırd edə bilmir, hamısını ləğv etmədən birini ləğv edə bilmir, və klonu orijinaldan seçə bilmir. Hər cihaza ayrı açarlar hər üçünü həll edir, bunun qarşılığında qeydiyyat addımı və seriyadan açıq açara uyğunlaşdırma tələb olunur. Bu uyğunlaşdırma ləğvi donanma boyu yenidən yazmaq əvəzinə bir sətirlik dəyişikliyə çevirən aktivdir.

Donanma skamyada beş vahiddirsə, açar paylaşmaq məqbul bir güzəşt ola bilər. Sahədə beş yüzdürsə, bu heç bir güzəşt deyil.

Hər cihaza ayrı açarları praktik edən qeydiyyat nümunəsi

Açar cütünü ilk yüklənmədə cihazda yaradın, şəxsi yarısını qorunan qeyri-uclu yaddaşda saxlayın və yalnız açıq açarı ünvan təyin edən və həmkar girişini yazan qeydiyyat xidmətinə göndərin. Qeydiyyat cavabını doğrulayın, əks halda yerli şəbəkədəki hücumçu öz açarını sizin hesabınıza qeydiyyatdan keçirə bilər. Təchizat zamanı şəxsi açarı heç vaxt seriya konsoluna çap etməyin. Cihazın seriyasını açıq açarın yanında qeyd edin ki, itirilmiş vahid tam bir həmkar girişinə uyğun gəlsin.

Bu kiçik bir xidmətdir və audit edə biləcəyiniz donanma ilə yalnız yenidən yaza biləcəyiniz donanma arasındakı fərqdir.

Vaxt, son nöqtələr və qərar

Nümunə tuneli başlatmazdan əvvəl vaxtı sinxronlaşdırır və bu TLS-dən kənarda da vacibdir: WireGuard əl sıxmaları təkrar hücumdan qorunma üçün zaman möhürü daşıyır, ona görə səhv saatla yüklənən cihazın əl sıxmaları rədd edilə bilər. Son nöqtə host adıdır, bu da serverin açıq açarı həmkəri hələ də doğrulasa da DNS-i etimad yoluna qoyur. Səhv ünvan cəhdləri boşa çıxarır və cihazın nə vaxt onlayn olduğunu göstərir. Açar barədə mübahisə etməzdən əvvəl hər ikisini həll edin.

Sonra qərar verin: paylaşılan açar yalnız sahiblik nəzarət altında və donanma kiçik olduqda, hər cihaza ayrı açarlar isə bunlardan biri doğru olmaqdan çıxan kimi.