Pam fod angen perchnogion ar wahân ar allweddi'r gweinydd a chyfrineiriau'r defnyddiwr

Mae'r allwedd sy'n profi mai'ch giât chi yw hi a'r cyfrinair sy'n dweud y caiff person ymuno ill dau yn gyfrinachau, a dyna lle mae'r tebygrwydd yn dod i ben. Mae un yn adnabod gwasanaeth i bob cleient; mae'r llall yn adnabod un defnyddiwr i'r gwasanaeth hwnnw. Mae eu cymysgu yn arbed cam wrth osod ac yn costio prynhawn wrth ddigwyddiad, oherwydd nid yr un weithred yw'r adferiad ar gyfer y naill a'r llall. Mae'r gwahanu yn anniddorol i'w osod ac yn gofiadwy i'w hepgor.

Dau gyfrinach, dau berchennog gwahanol

Mae'r giât yn cadw allwedd breifat neu dystysgrif a'i hunig waith yw profi ei hunaniaeth yn ystod yr ysgwyd llaw. Mae cleientiaid angen yr deunydd cyhoeddus cyfatebol i'w wirio, ac ni fyddant byth angen y hanner preifat. Yr anghymesuredd hwnnw sy'n gwneud dilysu'r gweinydd yn bosibl heb roi i bob defnyddiwr y gallu i ymddwyn fel y gweinydd.

Mae deunydd y defnyddiwr yn mynd i'r cyfeiriad arall. Mae allwedd breifat cleient, tystysgrif cleient neu gyfrinair yn dangos bod yr union berson neu'r ddyfais hon wedi cael mynediad. Disgwylir iddo gael ei ddosbarthu, ei gopïo rhwng dyfeisiau, a'i adalw yn y pen draw.

Mae WireGuard yn gwneud y gwahanu yn amlwg oherwydd mae gan bob cyfranogwr bâr o allweddi: mae allwedd breifat y gweinydd yn aros ar y gweinydd, ac mae ffeil ffurfweddu a roddwch i ddefnyddiwr yn cynnwys eu hallwedd breifat eu hun ynghyd ag allwedd gyhoeddus y gweinydd. Nid yw proffil sy'n cynnwys allwedd breifat y gweinydd yn llwybr byr, mae'n gyfaddawd sy'n aros am rannu ffeil.

Tair cwestiwn sy'n penderfynu'r gwahanu

Gofynnwch pwy sydd rhaid iddo allu darllen y gyfrinach, beth y byddai datguddiad yn caniatáu i ymosodwr ei wneud, ac a yw'r atgyweiriad yn un adalw neu'n ailadeiladu gwasanaeth.

Os gall defnyddiwr ei darllen ac mae'n profi hunaniaeth y giât, ateb yr ail gwestiwn yw y gall yr ymosodwr ymddwyn fel eich gweinydd wrth bob cleient — y canlyniad gwaethaf, oherwydd mae cleientiaid wedi'u cynllunio i ymddiried yn yr hunaniaeth honno. Os mai dim ond un defnyddiwr y mae'n ei brofi, mae'r datguddiad yn rhoi mynediad y defnyddiwr hwnnw i un cymar, ac mae adalw yn weithred gyffredin. Os yw'n allwedd awdurdod tystysgrifau, mae'r datguddiad yn waeth na'r ddau, oherwydd gall yr ymosodwr wneud hunaniaethau y mae pob pen terfyn yn ymddiried ynddynt.

Mae'r tri ateb hynny'n rhoi'r rheol storio: mae allwedd CA yn byw all-lein neu mewn claddgell, mae allwedd y giât yn byw ar y giât, ac mae allweddi defnyddwyr yn byw gyda defnyddwyr. Mae unrhyw drefniant sy'n rhoi'r tri mewn un cyfeiriadur er hwylustod wedi troi penderfyniad yn ddamwain.

Beth sydd ei angen ar gleient mewn gwirionedd

Mae cleient angen y dystysgrif gyhoeddus neu allwedd gyhoeddus y cymar, deunydd CA neu ôl bys y dylai ymddiried ynddo, ei allwedd breifat ei hun, a manylion y pen terfyn. Nid yw'r rhestr hon yn cynnwys dim sy'n perthyn i hunaniaeth breifat y giât.

Y dogfennau yw lle mae hyn yn gollwng. Mae canllaw sy'n dweud copïwch gyfeiriadur y gweinydd a dilëwch yr hyn nad oes ei angen arnoch eisoes wedi dysgu'r model anghywir, oherwydd anaml y bydd unrhyw un yn gwirio'r ffeil sy'n aros ar ôl y cam dileu.

Adalwch un defnyddiwr heb gyffwrdd â'r giât

Gan fod hunaniaethau defnyddwyr yn cael eu cyhoeddi ar wahân, gellir eu tynnu'n ôl ar wahân. Mae gosodiad sy'n seiliedig ar dystysgrifau yn adalw tystysgrif y cleient ac yn cyhoeddi rhestr adalw wedi'i diweddaru; mae gosodiad WireGuard yn tynnu cofnod y cymar o ffurfweddiad y gweinydd. Nid yw'r naill na'r llall o'r gweithredoedd hynny'n newid allwedd y giât ei hun.

Cadwch y cofnod cyhoeddi, neu ni fyddwch yn gwybod pa hunaniaeth i'w thynnu'n ôl. Mae taenlen yn ddigon, ar yr amod ei bod yn enwi'r person, y ddyfais, y rhif cyfresol neu'r allwedd gyhoeddus a'r dyddiad, ac ar yr amod bod rhywun yn berchen arni ar ôl i'r person a'i hadeiladodd adael.

Mae'r gorchmynion isod yn archwilio tystysgrif cleient ac yna'n ei hadalw drwy awdurdod ar ffurf OpenSSL, sef y llif y mae easy-rsa yn ei lapio:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Cyhoeddwch y rhestr newydd lle mae cleientiaid yn ei gwirio, neu mae'r adalw yn nodyn mewn ffeil nad yw'n newid dim. Os yw'ch giât yn derbyn tystysgrifau cleient heb ymgynghori â rhestr adalw, dywedwch hynny'n gwbl agored yn lle awgrymu bod adalw yn gweithio.

Cadwch gopïau wrth gefn mor wahanol â'r cyfrinachau

Mae archif ailadeiladu yn cynnwys allwedd y giât a deunydd CA yn gyfreithlon, oherwydd heb y rhain ni all adferiad atgynhyrchu'r gwasanaeth. Rhaid i becyn gosod cleient beidio, ac ni ddylid storio'r ddau gyda'i gilydd. Labelwch bob archif yn ôl pwy gaiff ei chadw, nid yn ôl y dyddiad y'i gwnaed. Y label hwnnw yw'r peth y mae gweinyddwr blinedig yn ei ddarllen am ddau y bore.

Mae'r gwahaniaeth hwnnw hefyd yn pennu pwy gaiff adfer pob un. Mae gweinyddu'r giât, cyhoeddi hunaniaethau defnyddwyr a darllen copïau wrth gefn yn dri grym gwahanol, ac nid oes angen y lleill yn awtomatig ar berson sydd angen un. Ysgrifennwch y caniatadau hynny, yna eu gwirio yn erbyn yr hyn y mae'ch storfa yn ei ganiatáu mewn gwirionedd, oherwydd mae etifeddiaeth cyfeiriaduron yn rhoi'n dawel fwy na'r hyn y mae'r polisi'n bwriadu.