Niyə server açarları və istifadəçi etimad məlumatları ayrı sahiblər tələb edir

Şlüzünüzün özü olduğunu sübut edən açar və bir şəxsin qoşula biləcəyini bildirən etimad məlumatı hər ikisi sirdir və oxşarlıq burada bitir. Biri hər müştəriyə bir xidməti tanıdır; digəri həmin xidmətə bir istifadəçini tanıdır. Onları qarışdırmaq quraşdırma zamanı bir addım qənaət edir və hadisə zamanı bir günorta baha başa gəlir, çünki hər biri üçün bərpa eyni əməliyyat deyil. Ayrılıq qurmaq üçün darıxdırıcıdır və atmaq üçün yaddaqalandır.

İki sirr, iki fərqli sahib

Şlüz yalnız əl sıxma zamanı öz kimliyini sübut etmək vəzifəsi olan şəxsi açar və ya sertifikat saxlayır. Müştərilər onu yoxlamaq üçün uyğun açıq materiala ehtiyac duyur və heç vaxt şəxsi yarısına ehtiyac duymurlar. Bu asimmetriya hər istifadəçiyə serveri təqlid etmək qabiliyyəti vermədən server autentifikasiyasını mümkün edir.

İstifadəçi materialı əks istiqamətdir. Müştərinin şəxsi açarı, müştəri sertifikatı və ya parol bu konkret şəxsin və ya cihazın giriş aldığını göstərir. Onun paylanması, cihazlar arasında köçürülməsi və nəhayət ləğv edilməsi gözlənilir.

WireGuard ayrılığı aşkar edir, çünki hər iştirakçının açar cütü var: serverin şəxsi açarı serverdə qalır və istifadəçiyə verdiyiniz konfiqurasiya faylı onların öz şəxsi açarını və serverin açıq açarını ehtiva edir. Serverin şəxsi açarını ehtiva edən profil qısa yol deyil, fayl paylaşımını gözləyən bir güzəştdir.

Ayrılığı həll edən üç sual

Sirri kimin oxuya bilməli olduğunu, sızmanın hücumçuya nə imkan verdiyini və düzəlişin bir ləğvetmə, yoxsa xidmətin yenidən qurulması olduğunu soruşun.

Əgər istifadəçi onu oxuya bilirsə və o, şlüz kimliyini sübut edirsə, ikinci sualın cavabı hücumçunun serverinizi hər müştəriyə təqlid edə bilməsidir — ən pis nəticə, çünki müştərilər həmin kimliyə etimad etmək üçün hazırlanıb. Əgər o, yalnız bir istifadəçini sübut edirsə, sızma həmin istifadəçinin bir həmkarına girişini verir və ləğvetmə adi bir əməliyyatdır. Əgər o, sertifikat orqanı açarıdırsa, sızma hər ikisindən pisdir, çünki hücumçu hər son nöqtənin etimad etdiyi kimliklər yarada bilər.

Bu üç cavab saxlama qaydasını yaradır: CA açarı oflayn və ya seyfdə yaşayır, şlüz açarı şlüzdə yaşayır, istifadəçi açarları isə istifadəçilərlə yaşayır. Üçünü rahatlıq üçün bir qovluğa yerləşdirən hər hansı düzüm qərarı təsadüfə çevirmiş olur.

Müştərinin əslində nəyə ehtiyacı var

Müştəriyə açıq sertifikat və ya açıq həmkar açarı, etimad etməli olduğu CA materialı və ya barmaq izi, öz şəxsi açarı və son nöqtə təfərrüatları lazımdır. Bu siyahıda şlüzün şəxsi kimliyinə aid heç nə yoxdur.

Sızma məhz sənədləşmədə baş verir. Server qovluğunu kopyalayın və lazım olmayanı silin deyən təlimat artıq yanlış modeli öyrədib, çünki silmə addımından sonra qalan faylı heç kim yoxlamır.

Şlüzə toxunmadan bir istifadəçini ləğv edin

İstifadəçi kimlikləri ayrıca verildiyi üçün ayrıca geri götürülə bilər. Sertifikata əsaslanan yerləşdirmə müştəri sertifikatını ləğv edir və yenilənmiş ləğvetmə siyahısını dərc edir; WireGuard yerləşdirməsi həmkar qeydini server konfiqurasiyasından çıxarır. Bu əməliyyatların heç biri şlüzün öz açarını dəyişmir.

Buraxılma qeydini saxlayın, əks halda hansı kimliyi geri götürəcəyinizi bilməyəcəksiniz. Bir cədvəl kifayətdir, bu şərtlə ki, şəxsi, cihazı, seriyanı və ya açıq açarı və tarixi göstərsin və onu quran şəxs getdikdən sonra kimsə ona sahib olsun.

Aşağıdakı əmrlər müştəri sertifikatını yoxlayır və sonra onu OpenSSL üslubunda bir orqan vasitəsilə ləğv edir, easy-rsa məhz bu axını sarır:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Yeni siyahını müştərilərin yoxladığı yerdə dərc edin, əks halda ləğvetmə heç nəyi dəyişməyən bir fayldakı qeyddir. Əgər şlüzünüz ləğvetmə siyahısına baxmadan müştəri sertifikatlarını qəbul edirsə, ləğvetmənin işlədiyini ima etmək əvəzinə bunu açıq şəkildə deyin.

Ehtiyat nüsxələri sirlər qədər ayrı saxlayın

Yenidənqurma arxivi qanuni olaraq şlüz açarını və CA materialını ehtiva edir, çünki onlarsız bərpa xidməti təkrar yarada bilməz. Müştəri quraşdırma paketi isə bunları ehtiva etməməlidir və ikisi birlikdə saxlanmamalıdır. Hər arxivi kimin saxlaya biləcəyinə görə etiketləyin, hazırlandığı tarixə görə deyil. Yorgun inzibatçının gecə saat ikidə oxuduğu etiket budur.

Bu fərq həm də hər birini kimin əldə edə biləcəyini müəyyən edir. Şlüzü idarə etmək, istifadəçi kimlikləri vermək və ehtiyat nüsxələri oxumaq üç fərqli səlahiyyətdir və birinə ehtiyacı olan şəxsin avtomatik olaraq digərlərinə ehtiyacı yoxdur. Bu icazələri yazın, sonra onları saxlama yerinizin həqiqətən nəyə icazə verdiyi ilə yoxlayın, çünki qovluq mirası siyasətin nəzərdə tutduğundan səssizcə daha çox verir.