VPN özəl açarı harada yaşamalıdır: fayl, CNG yoxsa TPM?

İki sual VPN özəl açarının hara aid olduğunu müəyyən edir: açar materialının hostdan kopyalana bilməsi və prosesin onu klaviaturada heç kim olmadan istifadə edə bilməsi. Bir anbarın marketinq etiketi heç birinə cavab vermir. Yenidən başlatmadan sonra qayıtmalı olan tunel demonu nəzarətsiz istifadə tələb edir, bu da insanın daxil etdiyi PIN-ə bağlı hər şeyi istisna edir.

Kopyalama ilə istifadə arasında seçin

Kopyalama və istifadə fərqli şəkildə uğursuz olur, buna görə onları bir deyil, iki tələb kimi qəbul edin. Açarın baytlarını oxuya bilən hücumçu şəxsiyyəti başqa hosta daşıyır və ilkin maşın bunu hiss etmir. Baytları oxuya bilməyən, lakin imzalama prosesinə çata bilən hücumçu bu giriş davam etdikcə autentifikasiyadan keçməyə davam edir.

Fayldakı açar mənasızcasına kopyalanır, buna görə də ehtiyat nüsxəsini çıxarmaq və bərpa etmək ən asandır. Proqram açar anbarı sərhədi deyil, API-ni dəyişir: provayder öz eksport çağırışlarını rədd edir, lakin açarı quraşdıran eyni administrator kontekstinin adətən materiala başqa yolları olur. Proqram provayderində eksport edilə bilməz olmaq dəstəklənən əməliyyatlar haqqında bəyanatdır, aparat divarının sübutu deyil. Bunu təsadüfi kopyalamaya qarşı yavaşladıcı kimi görün, sessiyanızı artıq tutan kimsəyə qarşı müdafiə kimi deyil.

TPM və ya smart kart imzalama əməliyyatını aparat daxilində icra edir və yalnız nəticəni qaytarır. Bu, kopyalama yolunu bağlayır və istifadə yolunu imza tələb edə bilən hər şeyə açıq qoyur.

Anbarı tunel demonuna uyğunlaşdırın

Demon bunu təhlükəsizlik siyasətindən daha çox məhdudlaşdırır. WireGuard fayldan və ya wg set girişindən base64 özəl açar götürür və sertifikat anbarına yolu yoxdur, buna görə TPM dəstəkli interfeys açarı söhbətə girmir. OpenSSL 3-ə qarşı qurulmuş OpenVPN açarı provayder URI-si ilə yükləyə bilər və strongSwan PKCS#11 dəstəyinin yanında TPM plaqini göndərir, lakin hər ikisi paketinizin necə kompilyasiya edildiyindən asılıdır.

Seçilmiş anbara çata bilməyən demon aparat sərhədini bəzəyə çevirir. Biri açarı bir dəfə eksport edir, faylda qoyur və dizaynın qalan hissəsi səssizcə o kopya üzərində işləyir.

Yeniləmə uyğunlaşdırmanın digər yarısıdır və məhz orada layihələrin çoxu dağılır. İlk qeydiyyatda işləyən, lakin hər yenidən buraxılış üçün konsol girişi tələb edən anbar, sertifikat əlverişsiz saatda bitdiyi ilk dəfə yan keçilir. Cari açarın hələ ayları varkən yenidən buraxılış yolunu sınayın.

Açarı köçürməzdən əvvəl inventarlaşdırın

Açarın nə olduğunu, harada yaşadığını dəyişməzdən əvvəl qeyd edin, çünki subject alternative names-i itirən miqrasiya tuneli marşrutlaşdırma xətası kimi oxunan şəkildə pozur. Sertifikatı boşaldın, özəl açarın demonun gözlədiyi yerdə oxuna bilən olduğunu təsdiqləyin və cütün həqiqətən uyğun olduğunu yoxlayın.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

Son iki xülasə eyni olmalıdır. Əgər deyilsə, demon quraşdırmanı tamamlayır və sonra hər cəhddə əsl səbəbə heç yaxın olmayan sertifikat və ya imza xətası ilə uğursuz olur. WireGuard ekvivalenti daha qısadır, çünki açıq açar birbaşa özəldən çıxarılır: wg pubkey < /etc/wireguard/wg0.key serverinizin artıq saxladığı həmkar açarını çap etməlidir.

İcazələr eyni inventara aiddir. stat -c '%a %U:%G' /etc/wireguard/wg0.key 600 root:root qaytarmalıdır və qrup və ya dünya üçün oxuna bilən hər şey açarın heç vaxt nəzərdə tutmadığınız proseslərə artıq açıq olduğunu bildirir.

Anbarı və istifadə yolunu yoxlayın

Yoxlamanın üç hissəsi var və üçüncüsü atlanır. Açarın seçdiyiniz anbarda olduğunu təsdiqləyin, demonun o açarı yüklədiyini, geridə qalan kopyanı deyil, təsdiqləyin və sonra eksport artefaktı olmadıqda hələ də başladığını təsdiqləyin.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

Windows-da birinci əmr şəxsi anbarı sadalayır və hər girişin yanında açar provayderini çap edir və orada aparatla qorunmuş görünən, lakin proqram provayderində oturan sertifikat görünür. İkinci platforma kriptoqrafiya provayderinin saxladığı açarları sadalayır, buna görə sertifikatı mövcud olduğu halda orada olmayan VPN şəxsiyyəti özəl yarının başqa yerdə yaşadığını bildirir. Linux şlüzündə ipsec listcerts strongSwan-ın nə yüklədiyini, TPM plaqinindən gələn açarlar da daxil olmaqla bildirir. Giriş sayına güvənmək əvəzinə barmaq izlərini və ya açıq açar heşlərini inventarla müqayisə edin.

Mənfi test dizaynı sübut edən testdir. Eksport edilmiş açarı demonun konfiqurasiya qovluğundan kənara köçürün, xidməti yenidən başladın və jurnalda hansı şəxsiyyəti təqdim etdiyini oxuyun. Yenə də qalxan tunel anbarı istifadə edir; uğursuz başlama dizaynın həqiqətən kopya üzərində işlədiyini bildirir.

Yeniləməni və geri qaytarmanı yazın

Geri qaytarma iki ailə arasında kəskin fərqlənir və bu fərq dizayn qeydinə aiddir, insident zənginə deyil. Fayldakı açar şifrələnmiş ehtiyat nüsxəyə götürülə və bərpa edilə bilər, buna görə uğursuz miqrasiya geri qaytarıla bilər. Eksport edilə bilməyən açar heç ehtiyat nüsxəyə götürülə bilməz, bu da cihaz öldükdə yenidən buraxılışı və yenidən qeydiyyatı yeganə bərpa yolu edir.

Bitmə vaxtını fasiləyə çevrilməzdən əvvəl yoxlayın: openssl x509 -in vpn.crt -noout -checkend 2592000 sertifikat otuz gün ərzində bitdikdə sıfırdan fərqli kodla çıxır, buna görə birbaşa monitorinq yoxlamasına düşür. Bu sətrin həftəlik icrası heç kimin planlaşdırmadığı yeniləməni tutur.

Silmə serverdə baş verir: həmkarı silin və ya seriya nömrəsini ləğv edin, sonra tunelin uğursuz olduğunu təsdiqləyin, çünki keşlənmiş sessiyası olan müştəri yarımçıq ləğvi bir müddət gizlədə bilər. Ləğv yalnız CA verilənlər bazasına deyil, konsentratorun CRL və ya OCSP yoluna da çatmalıdır. Sertifikat açıq sənəddir və RFC 5280 profili onun necə yoxlanıldığını əhatə edir; bu yoxlamanın heç bir hissəsi rotasiyadan əvvəl kopyalanmış özəl açarı qorumur.

Qərarı bir yerdə yazın: hansı anbar açarı saxlayır, hansı proses onu istifadə edə bilər, kim onu yenidən buraxa bilər və geri qaytarma nədir. Auditorların soruşduğu paraqraf odur və işçi dəyişikliyindən sağ çıxan odur.