Allweddi WireGuard ar ESP32: un i bob dyfais neu un wedi’i chynnwys?

Mae’r braslun yn rhoi allwedd breifat WireGuard mewn arae nodau, ac mae’r twnnel yn gweithio, a dyna pam mae’r cwestiwn yn codi dro ar ôl tro. Nid «a yw hyn yn ddiogel» yw’r penderfyniad y mae’n rhaid i chi ei wneud, ond «pa un o’r tri amod sy’n berthnasol i’r defnydd hwn». Dyma nhw: pwy all ddal y ddyfais yn gorfforol, beth mae darllen y fflach yn ei roi ar eich rhan, ac a yw’r fflyd yn rhannu un allwedd neu’n cario un yr un. Atebwch y rheini a daw’r dyluniad, oherwydd mae pob un yn newid cost allwedd sydd wedi gollwng, nid y ffaith y gall ollwng.

Beth mae’r allwedd yn ei awdurdodi

Mae WireGuard yn dilysu cymariaid drwy allwedd gyhoeddus. Mae’r gweinydd yn mapio allwedd gyhoeddus pob cymar i gyfeiriad ac i AllowedIPs rhestr, felly’r allwedd breifat sy’n gadael i glient anfon traffig o’r cyfeiriad hwnnw.

Mae’r un cofnod yn penderfynu pa gyrchfannau y caiff y ddyfais eu cyrraedd, felly mae allwedd sydd wedi gollwng yn datgelu’r rhwydwaith y tu ôl i’r twnnel yn ogystal â chyfeiriad y twnnel.

Amod un: pwy all ddal y ddyfais

Os yw’r uned yn byw mewn cabinet cloëdig ac nad oes neb y tu allan i’ch tîm yn ei thrin, cwestiwn dosbarthu firmware yw’r datguddiad yn bennaf. Os caiff ei chludo at gwsmeriaid, ei gosod mewn cerbyd neu ei dychwelyd o dan warant, y meddiant corfforol yw’r dystysgrif ac mae cyfrinachedd y deuaidd yn eilradd. Nid oes angen i bwy bynnag sy’n dal y ddyfais ddarllen yr allwedd, oherwydd bydd y firmware sy’n rhedeg yn agor y twnnel iddo. Dyna pam mae’n rhaid i ateb yr ochr weinydd gynnwys dirymu ac oes gyfyngedig, nid delwedd warchodedig yn unig.

Penderfynwch yr amod hwn cyn y ddau arall, oherwydd mae’n gosod y gyllideb ar eu cyfer ill dau.

Amod dau: beth mae darllen y fflach yn ei roi

Mae unrhyw un sy’n gallu darllen delwedd y fflach yn adennill allwedd a storir fel llythrennol, naill ai drwy gysylltiad dadfygio, ffeil diweddaru, copi wrth gefn neu uned a ddychwelwyd. Amgryptio fflach yn codi cost dymp uniongyrchol, ac mae dogfennaeth ESP-IDF yn disgrifio beth mae’r nodwedd yn ei gwmpasu ar gyfer rhan a chyfluniad penodol. Nid yw’n gwneud yr allwedd yn anechdynnol o dan bob model ymosod, ac nid yw’n gwneud dim ar gyfer yr achos lle mae’r ddyfais yn y llaw. Triniwch ef fel un haen sy’n newid cost, nid fel yr ateb.

Darllenwch ddogfennaeth y platfform ar gyfer eich sglodyn a’ch cyfluniad union, cyn honni priodwedd mewn adolygiad dylunio.

Amod tri: ailddefnydd ar draws y fflyd

Mae un allwedd ar gyfer rhediad cynhyrchu yn golygu bod pob uned yn rhannu un hunaniaeth. Ni all y gweinydd eu gwahaniaethu yn y cofnodion, ni all ddirymu un heb ddirymu’r cyfan, ac ni all wahaniaethu clôn oddi wrth wreiddiol. Mae allweddi fesul dyfais yn trwsio’r tri, ar gost cam cofrestru a mapio rhif cyfresol i allwedd gyhoeddus. Y mapio hwnnw yw’r ased sy’n troi dirymu’n newid un llinell yn lle ailfflachio’r fflyd gyfan.

Os yw’r fflyd yn bum uned ar fainc, gall rhannu allwedd fod yn fasnach resymol. Os yw’n bum cant yn y maes, nid yw’n fasnach o gwbl.

Y patrwm cofrestru sy’n gwneud allweddi fesul dyfais yn ymarferol

Cynhyrchwch y pâr allwedd ar y ddyfais ar y cychwyn cyntaf, cadwch yr hanner preifat mewn storfa anweddol warchodedig, a danfonwch yr allwedd gyhoeddus yn unig i wasanaeth cofrestru sy’n neilltuo cyfeiriad ac yn ysgrifennu cofnod y cymar. Dilyswch ymateb y cofrestru, neu gall ymosodwr ar y rhwydwaith lleol gofrestru ei allwedd ei hun yn erbyn eich cyfrif. Peidiwch byth â phrintio’r allwedd breifat i’r consol gyfresol yn ystod darparu. Cofnodwch rif cyfresol y ddyfais wrth ymyl yr allwedd gyhoeddus, fel bod uned goll yn mapio’n union i un cofnod cymar.

Gwasanaeth bach yw hwn, a dyma’r gwahaniaeth rhwng fflyd y gallwch ei harchwilio a fflyd na allwch ond ei hailfflachio.

Amser, pwyntiau terfyn a’r penderfyniad

Mae’r enghraifft yn cysoni amser cyn cychwyn y twnnel, ac mae hynny’n bwysig y tu hwnt i TLS: mae ysgwyd llaw WireGuard yn cario stamp amser ar gyfer amddiffyn rhag ailchwarae, felly gall dyfais sy’n cychwyn ag oriawr anghywir gael ei hysgwyd llaw wedi’i gwrthod. Enw gwesteiwr yw’r pwynt terfyn, sy’n rhoi DNS yn y llwybr ymddiriedaeth er bod allwedd gyhoeddus y gweinydd yn dal i ddilysu’r cymar. Mae cyfeiriad anghywir yn gwastraffu ymdrechion ac yn datgelu pryd mae’r ddyfais ar-lein. Triniwch y ddau cyn dadlau am yr allwedd.

Yna penderfynwch: allwedd a rennir dim ond tra bo meddiant dan reolaeth a’r fflyd yn fach, allweddi fesul dyfais cyn gynted ag y bydd y naill neu’r llall yn peidio â bod yn wir.