Üks VPN-identiteet seadme kohta: miks jagamine lõhub eemaldamise

Üks profiil, mis on kopeeritud sülearvutisse, telefoni ja tahvlisse, töötab hästi seni, kuni üks neist kaob. Sel hetkel on valik katkestada iga seade, mis identiteeti jagab, või jätta soovimatu juurdepääs paigale. Mõlemad valikud on halvemad kui kümme minutit, mis oleks kulunud kolme identiteedi väljastamiseks. Mehhanism ei ole keeruline: VPN-peer on autoriseerimiskirje ja üks kirje seadme kohta on see, mis muudab eemaldamise üheks täpseks toiminguks.

Mida jagatud profiil jagab

Privaatvõtme kopeerimine kopeerib kogu autoriseerimise: peer-kirje, tunneliaadressi ning kõik sellega seotud marsruudid ja poliitikad. Server ei suuda koopiaid eristada, sest protokoll tuvastab peeri võtme, mitte seadme järgi. Iga logirida, iga piirang ja iga tühistamisotsus kehtib grupi kohta. Seega ei ole jagatud profiil mugavus väikese turvakuluga, vaid üks tõrkepunkt, mille küljes on mitu seadet.

Sama loogika kehtib jagatud konto kohta, millel on üks sertifikaat.

Varusta olemasoleva identiteedimudeli kaudu

WireGuard-i juurutus saab autoriseerida eraldi peer-võtmeid, üks seadme kohta. Sertifikaadipõhine juurutus saab väljastada üksikuid kliendisertifikaate oma asutusest. Kontosüsteem võib kombineerida kasutaja eraldi seadmekirjetega, sõltuvalt tootest. Kasutage operaatori toetatud registreerimisprotsessi, sest uue kohaliku saladuse loomine ei tee midagi enne, kui peer või lüüs tunnustab vastavat autoriseerimist.

Toetatud tee on ka see, mis elab üle järgmise uuenduse.

Inventuur ilma saladusteta

Hoidke seadme silt, avalik identifikaator ja omanik inventuuris, mida saate otsida. Ärge kopeerige privaatvõtmeid sellesse inventuuri, sest see muudab varade nimekirja volituste hoidlaks.

Rida „Ana sülearvuti, peeri avalik võti, väljastatud 12. märtsil“ on tegutsemiseks piisav.

Eemaldamine on protseduur, mitte nupp

Kirjutage üles, kuidas keelata täpselt üks seade ja kas aktiivne sessioon vajab eraldi lõpetamissammu. Kontrollige püsivust, et taaskäivitus või vana konfiguratsiooni varukoopia ei tooks autoriseerimist tagasi. Kinnitage, et eemaldamine mõjus, proovides eemaldatud seadmest ühenduda. Seejärel kontrollige, kas miski muu viitas sellele identiteedile, näiteks seireandur või jagatud marsruut.

Samm, mille inimesed vahele jätavad, on viimane, ja see on ainus, mis muudatust tõestab.

Asendamise järjekord

Väljastage esmalt uus seade, kontrollige seda vajaliku ressursi vastu ja seejärel lõpetage vana kasutus. Erand on kokkupuude: kui vana seade võib olla kellegi teise käes, eemaldage see kõigepealt ja nõustuge katkestusega.

Igal juhul vaadake üle kasutusest kõrvaldatud riistvaral salvestatud ekspordid enne, kui see hoonest lahkub.

Mida eraldi identiteedid annavad

Kolm asja ja igaüks neist ilmneb intsidendi ajal:

• Tühistage üks seade teisi puutumata.
• Omistage ühendus seadmele, mitte grupile.
• Selgitage tõrget ilma kõigi tegevust kogumata.

Operaatori juhised on autoriteet tema enda varustusmudeli kohta, olgu selleks peer-põhised võtmed nagu WireGuardi kiirstart või üksiksertifikaadid kohalikust asutusest. Eraldi kirjed on vahe laevastiku vahel, mille üle saab mõelda, ja laevastiku vahel, mida saab ainult lähtestada.