WireGuardi võtmed ESP32-l: igale seadmele oma või üks sisse ehitatud?

Visand paneb WireGuardi privaatvõtme märgimassiivi ja tunnel töötab, seepärast kerkib küsimus ikka uuesti. Otsus, mille tegelikult peate tegema, ei ole «kas see on turvaline», vaid «milline kolmest tingimusest kehtib selle juurutuse puhul». Need on: kes saab seadet füüsiliselt hoida, mida annab flash-lugemine teie komponendil, ja kas park jagab üht võtit või kannab iga seade oma. Vastake neile ja disain järgneb, sest iga tingimus muudab lekkinud võtme hinda, mitte fakti, et see võib lekkida.

Mida võti volitab

WireGuard autendib partnereid avaliku võtmega. Server seob iga partneri avaliku võtme aadressi ja AllowedIPs loendiga, seega just privaatvõti lubab kliendil saata liiklust sellelt aadressilt.

Sama kirje otsustab, millistele sihtkohtadele seade pääseb, seega lekkinud võti paljastab nii tunneli taga oleva võrgu kui ka tunneli aadressi.

Tingimus üks: kes saab seadet hoida

Kui seade seisab lukustatud kapis ja keegi väljaspool teie meeskonda seda ei puutu, on kokkupuude peamiselt püsivara levitamise küsimus. Kui see saadetakse klientidele, seisab sõidukis või tuleb garantii korras tagasi, on füüsiline valdamine volitus ja binaarfaili salastatus teisejärguline. See, kes seadet käes hoiab, ei pea võtit lugema, sest töötav püsivara avab talle tunneli. Seepärast peab serveripoolne vastus sisaldama tühistamist ja piiratud eluiga, mitte ainult kaitstud pilti.

Otsustage see tingimus enne kahte ülejäänut, sest see määrab mõlema eelarve.

Tingimus kaks: mida annab flash-lugemine

Igaüks, kes suudab flash-pilti lugeda, taastab literaalina salvestatud võtme, olgu silumisühenduse, värskendusfaili, varukoopia või tagastatud seadme kaudu. Flash-krüpteerimine tõstab otsese tõmmise hinda ja ESP-IDF dokumentatsioon kirjeldab, mida funktsioon antud komponendi ja konfiguratsiooni puhul katab. See ei muuda võtit iga ründemudeli korral väljavõtmatuks ega tee midagi juhuks, kui seade on käes. Käsitlege seda ühe kihina, mis muudab hinda, mitte vastusena.

Lugege platvormi dokumentatsiooni oma täpse kiibi ja konfiguratsiooni kohta enne, kui väidate disainiülevaates mingit omadust.

Tingimus kolm: korduskasutus kogu pargis

Üks võti tootmispartii jaoks tähendab, et iga seade jagab üht identiteeti. Server ei suuda neid logides eristada, ei saa tühistada üht ilma kõiki tühistamata, ega eristada klooni originaalist. Seadmepõhised võtmed parandavad kõik kolm, hinnaks registreerimissamm ja seerianumbri vastendamine avaliku võtmega. See vastendus on vara, mis muudab tühistamise üherealiseks muudatuseks kogu pargi ümberflasheerimise asemel.

Kui park on viis seadet pingil, võib võtme jagamine olla mõistlik vahetus. Kui see on viissada väljal, ei ole see üldse vahetus.

Registreerimismuster, mis teeb seadmepõhised võtmed praktiliseks

Looge võtmepaar seadmes esimesel käivitusel, hoidke privaatne pool kaitstud mittekaduvas mälus ja saatke ainult avalik võti registreerimisteenusesse, mis määrab aadressi ja kirjutab partneri kirje. Autentige registreerimisvastus, muidu saab kohaliku võrgu ründaja teie kontole oma võtme registreerida. Ärge kunagi printige privaatvõtit seeriakonsoolile seadistamise ajal. Märkige seadme seerianumber avaliku võtme kõrvale, et kaotatud seade vastaks täpselt ühele partneri kirjele.

See on väike teenus ja see on vahe auditeeritava pargi ning sellise pargi vahel, mida saab ainult ümber flasheerida.

Aeg, lõpp-punktid ja otsus

Näide sünkroonib aja enne tunneli käivitamist ja see loeb kaugemal kui TLS: WireGuardi kätlused kannavad korduskaitset tagavat ajatemplit, seega vale kellaga käivituv seade võib saada tagasilükatud kätlusi. Lõpp-punkt on hostinimi, mis toob DNS-i usaldusteele, kuigi serveri avalik võti autendib partnerit endiselt. Vale aadress raiskab katseid ja paljastab, millal seade on võrgus. Lahendage mõlemad enne, kui võtme üle vaidlete.

Seejärel otsustage: ühine võti ainult seni, kuni valdamine on kontrolli all ja park on väike, seadmepõhised võtmed kohe, kui üks neist enam ei kehti.