Nid yw un dystysgrif i bob dyfais yn gwneud yr allwedd yn gysylltiedig â'r ddyfais

Rydych chi’n cyhoeddi tystysgrif ar wahân ar gyfer pob gliniadur, felly rydych chi’n tybio y gall y VPN eu hadnabod oddi wrth ei gilydd. Na all. Mae tystysgrif cleient yn profi bod gan bwy bynnag sy’n cysylltu’r allwedd breifat gyfatebol, ac mae gan broffil wedi’i gopïo hynny hefyd.

Mae’r dystysgrif i bob dyfais yn dal yn syniad da. Mae’n gwneud gwaith gwahanol i’r hyn y mae’r rhan fwyaf o bobl yn ei ddisgwyl.

Yr hyn y mae tystysgrif cleient yn ei brofi mewn gwirionedd

Yn ystod yr ysgwyd llaw mae’r cleient yn arwyddo gyda’r allwedd breifat sy’n cyfateb i’w dystysgrif, ac mae’r gweinydd yn gwirio’r llofnod hwnnw yn erbyn yr CA y mae’n ymddiried ynddo. Nid oes dim yn y cyfnewid hwnnw yn disgrifio’r peiriant. Mae unrhyw ddyfais sy’n dal y dystysgrif a’r allwedd yn cynhyrchu llofnod unfath, felly mae proffil a gopïwyd i ail liniadur yn edrych yn union fel yr un gwreiddiol. Mae’r dystysgrif yn enwi hunaniaeth; nid yw’n enwi caledwedd.

Mae unigrywiaeth i bob dyfais yn dal i ennill ei chadw, oherwydd mae’n gwneud dirymu’n fanwl gywir. Priodwedd weinyddol yw hi, nid clo technegol.

Tri lefel o storio allwedd

Y lefel gyntaf yw ffeil allwedd ar y disg. Mae’n gludadwy trwy gynllun, a dyna lle mae’r rhan fwyaf o broffiliau OpenVPN yn byw.

Yr ail lefel yw allwedd y mae’r system weithredu’n ei marcio’n anallforadwy. Gall Windows gynhyrchu allwedd dyfais yn ei storfa dystysgrifau a gwrthod allforio cyffredin, sy’n atal copïo achlysurol. Nid yw’n cael ei chefnogi gan galedwedd, ac â digon o fynediad i’r peiriant gellir adfer allweddi o’r fath, felly mae’n codi’r ymdrech yn lle adeiladu mur.

Y drydedd lefel yw allwedd a gynhyrchir y tu mewn i galedwedd diogelwch: TPM, cerdyn clyfar, SIM neu docyn PIV. Nid oes gan y modiwlau hynny’r cylchedwaith i allforio’r allwedd a gynhyrchon nhw, ac mae arwyddo’n digwydd y tu mewn i’r modiwl. Nid yw’r allwedd byth yn dod yn ffeil y gall unrhyw un ei chopïo.

Y tabl hwnnw yw’r ddadl gyfan mewn tair rhes.

Yr hyn y gall easy-rsa ei wneud a’r hyn na all

Mae cyhoeddi tystysgrifau i bob dyfais yn syml. Crëwch enw cyffredin gwahanol i bob dyfais yn erbyn yr un CA, er enghraifft ./easyrsa build-client-full laptop-a nopass, a’i ailadrodd ar gyfer pob dyfais. Cofnodwch pa enw cyffredin sy’n perthyn i ba berson a pheiriant.

Mae dirymu yr un mor uniongyrchol: ./easyrsa revoke laptop-a, ailgynhyrchwch y CRL gyda ./easyrsa gen-crl, a gwnewch yn siŵr bod y gweinydd yn ei ddarllen drwy crl-verify.

Yr hyn na all yr CA ei wneud yw gwirio lle mae’r allwedd breifat yn byw wedyn. Os ydych chi’n cynhyrchu’r allwedd ar westeiwr yr CA ac yn ei chopïo i’r ddyfais, fe wnaethoch chi greu ail gopi wrth ei chyhoeddi. Rhaid cynhyrchu allwedd anallforadwy ar y ddyfais, neu ei mewnforio i galedwedd na fydd yn ei rhyddhau.

Rheolyddion sy’n goroesi proffil wedi’i gopïo

Cymerwch yn ganiataol y gellir copïo’r proffil a dyluniwch o amgylch hynny. Cysylltwch y cyfrif ag ail ffactor fel nad yw tystysgrif ar ei phen ei hun yn ddigon. Rhowch bolisi ei hun i bob dyfais fel bod cyrhaeddiad un hunaniaeth yn aros yn gyfyngedig. A gwyliwch am yr un enw cyffredin wedi’i gysylltu o ddau gyfeiriad ar unwaith, sef sut mae proffil a rennir yn edrych mewn cofnod cysylltiadau.

Dirymu cyflym a dogfennedig yw’r rheolydd sy’n dal i weithio ar ôl i gopi ddigwydd. Mae popeth arall yn atal.

Yr honiad y gall y gweinydd ddibynnu arno mewn gwirionedd

Daw unigrywiaeth o’r CA. Daw clymu i’r ddyfais o storio’r allwedd. Dim ond caledwedd na all allforio ei hallwedd sy’n troi un dystysgrif i bob dyfais yn honiad y mae’r gweinydd yn ei orfodi, yn hytrach na pholisi y mae pawb yn cytuno i’w ddilyn.