Hər cihaz üçün bir sertifikat açarı cihaza bağlamır
Hər cihaz üçün ayrı sertifikat inzibatçı seçimidir, cihaz bağlaması deyil. Bağlamanı müəyyən edən şey şəxsi açarın harada yaşamasıdır, köçürülə bilən fayldan TPM-ə qədər.
Hər noutbuk üçün ayrı sertifikat verirsiniz, ona görə hesab edirsiniz ki, VPN onları bir-birindən ayıra bilər. Aya bilməz. Müştəri sertifikatı qoşulan hər kəsin uyğun şəxsi açara sahib olduğunu sübut edir, köçürülmüş profil də həmin açarı saxlayır.
Cihaz başına sertifikat yenə də yaxşı fikirdir. Sadəcə, əksər insanların gözlədiyindən fərqli bir iş görür.
Müştəri sertifikatı əslində nəyi sübut edir
Əl sıxma zamanı müştəri öz sertifikatına uyğun şəxsi açarla imza atır, server isə həmin imzanı etibar etdiyi CA-ya qarşı yoxlayır. Bu mübadilədə maşını təsvir edən heç nə yoxdur. Həm sertifikatı, həm açarı saxlayan istənilən cihaz eyni imzanı yaradır, buna görə ikinci noutbuka köçürülmüş profil orijinala tamamilə bənzəyir. Sertifikat kimliyi adlandırır; avadanlığı adlandırmır.
Cihaz başına unikallıq yenə də özünü doğruldur, çünki ləğvi dəqiqləşdirir. Bu, inzibati xassədir, texniki qıfıl deyil.
Açar saxlamağın üç səviyyəsi
Birinci səviyyə diskdəki açar faylıdır. Dizaynına görə daşına biləndir və OpenVPN profillərinin çoxu elə orada yaşayır.
İkinci səviyyə əməliyyat sisteminin ixrac edilə bilməz kimi işarələdiyi açardır. Windows öz sertifikat anbarında cihaz açarı yarada və adi ixracı rədd edə bilər, bu da təsadüfi köçürmənin qarşısını alır. O, avadanlıqla dəstəklənmir və maşına kifayət qədər çıxış olduqda belə açarlar bərpa edilə bilər, yəni divar qurmaq əvəzinə səyi artırır.
Üçüncü səviyyə təhlükəsizlik avadanlığının içində yaradılan açardır: TPM, smart kart, SIM və ya PIV token. Həmin modullarda yaratdıqları açarı ixrac etmək üçün sxem yoxdur və imzalama modulun içində baş verir. Açar heç vaxt hər kəsin köçürə biləcəyi fayla çevrilmir.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Bu cədvəl bütün arqumenti üç sətirdə verir.
easy-rsa nə edə bilər, nə edə bilməz
Cihaz başına sertifikat vermək sadədir. Eyni CA-ya qarşı hər cihaz üçün ayrı ümumi ad yaradın, məsələn ./easyrsa build-client-full laptop-a nopass, və hər cihaz üçün təkrarlayın. Hansı ümumi adın hansı şəxsə və maşına aid olduğunu qeyd edin.
Ləğv etmək də eyni dərəcədə birbaşadır: ./easyrsa revoke laptop-a, CRL-i ./easyrsa gen-crl ilə yenidən yaradın və serverin onu həqiqətən crl-verify vasitəsilə oxuduğuna əmin olun.
CA-nın edə bilmədiyi şey, şəxsi açarın sonradan harada yaşadığını yoxlamaqdır. Açarı CA hostunda yaradıb cihaza köçürsəniz, veriliş anında ikinci nüsxə yaratmış olursunuz. İxrac edilə bilməyən açar cihazda yaradılmalı və ya onu buraxmayan avadanlığa idxal edilməlidir.
Köçürülmüş profildən sağ çıxan nəzarətlər
Profilin köçürülə biləcəyini fərz edin və dizaynı buna uyğun qurun. Hesabı ikinci faktora bağlayın ki, təkcə sertifikat kifayət etməsin. Hər cihaza öz siyasətini verin ki, bir kimliyin çatımı məhdud qalsın. Və eyni ümumi adın eyni vaxtda iki ünvandan qoşulmasını izləyin, çünki paylaşılan profil əlaqə jurnalında belə görünür.
Sürətli və sənədləşdirilmiş ləğv köçürmə baş verdikdən sonra da işləyən nəzarətdir. Qalan hər şey qabaqlayıcı tədbirdir.
Serverin həqiqətən arxalana biləcəyi iddia
Unikallıq CA-dan gəlir. Cihaz bağlaması açar saxlamaqdan gəlir. Yalnız açarını ixrac edə bilməyən avadanlıq cihaz başına bir sertifikatı hamının razılaşdığı siyasətə deyil, serverin tətbiq etdiyi bəyanata çevirir.