Jedan VPN identitet po uređaju: zašto dijeljenje kvari uklanjanje

Jedan profil kopiran na laptop, telefon i tablet radi dobro dok se jedan od njih ne izgubi. U tom trenutku izbor je prekinuti svaki uređaj koji dijeli identitet ili ostaviti neželjeni pristup na mjestu. Obje opcije su gore od deset minuta koliko bi trebalo da se izdaju tri identiteta. Mehanizam nije komplikovan: VPN peer je zapis o autorizaciji, a jedan zapis po uređaju je ono što uklanjanje pretvara u jednu preciznu radnju.

Šta dijeli dijeljeni profil

Kopiranje privatnog ključa kopira cijelu autorizaciju: unos peera, adresu tunela i sve rute i politike vezane za njega. Server ne može razlikovati kopije, jer protokol identifikuje peera po ključu, a ne po uređaju. Svaki red u zapisu, svako ograničenje i svaka odluka o opozivu odnosi se na grupu. Dijeljeni profil stoga nije pogodnost s malim troškom sigurnosti, on je jedna tačka otkaza s nekoliko uređaja.

Ista logika vrijedi za dijeljeni račun koji drži jedan certifikat.

Obezbijedite kroz model identiteta koji imate

WireGuard instalacija može autorizovati različite peerske ključeve, po jedan za svaki uređaj. Instalacija zasnovana na certifikatima može izdavati pojedinačne klijentske certifikate iz vlastite ustanove. Sistem računa može kombinovati korisnika s odvojenim zapisima uređaja, zavisno od proizvoda. Koristite operaterov podržani proces upisa, jer generisanje nove lokalne tajne ne čini ništa dok peer ili mrežni prolaz ne prepozna odgovarajuću autorizaciju.

Podržani put je i onaj koji preživljava sljedeću nadogradnju.

Inventar bez tajni

Držite oznaku uređaja, javni identifikator i vlasnika u inventaru koji možete pretraživati. Ne kopirajte privatne ključeve u taj inventar, jer to popis imovine pretvara u skladište akreditiva.

Red koji kaže „Anin laptop, javni ključ peera, izdat 12. marta“ dovoljan je za djelovanje.

Uklanjanje je procedura, a ne dugme

Zapišite kako onemogućiti tačno jedan uređaj i treba li aktivnoj sesiji poseban korak prekida. Provjerite postojanost, da ponovno pokretanje ili stara sigurnosna kopija konfiguracije ne vrati autorizaciju. Potvrdite da je uklanjanje djelovalo pokušajem povezivanja s uklonjenog uređaja. Zatim provjerite da li je nešto drugo referenciralo taj identitet, poput nadzorne sonde ili dijeljene rute.

Korak koji ljudi preskaču je posljednji i jedini je koji dokazuje promjenu.

Redoslijed zamjene

Prvo izdajte novi uređaj, provjerite ga prema resursu koji mu treba, pa povucite stari. Izuzetak je izloženost: ako stari uređaj može biti u tuđim rukama, prvo ga uklonite i prihvatite prekid.

U svakom slučaju, pregledajte sačuvane izvoze na povučenom hardveru prije nego što napusti zgradu.

Šta vam donose odvojeni identiteti

Tri stvari, i svaka se pokaže tokom incidenta:

• Opozvati jedan uređaj bez diranja ostalih.
• Pripisati vezu uređaju, a ne grupi.
• Objasniti kvar bez prikupljanja aktivnosti svih.

Operaterove smjernice su autoritet za njegov vlastiti model obezbjeđenja, bilo da su to ključevi po peeru kao u WireGuard brzom početku ili pojedinačni certifikati lokalne ustanove. Različiti zapisi su razlika između flote o kojoj možete razmišljati i flote koju možete samo resetovati.