Miks serveri võtmed ja kasutaja mandaadid vajavad eraldi omanikke

Võti, mis tõestab, et teie lüüs on tema ise, ja mandaat, mis ütleb, et inimene tohib liituda, on mõlemad saladused, ja sealt sarnasus lõpeb. Üks identifitseerib teenust iga kliendi ees; teine identifitseerib üht kasutajat selle teenuse ees. Nende segamine säästab seadistamisel ühe sammu ja maksab juhtumi ajal terve pärastlõuna, sest taastamine ei ole kummagi puhul sama toiming. Eraldamine on tüütu seadistada ja meeldejääv vahele jätta.

Kaks saladust, kaks erinevat omanikku

Lüüs hoiab privaatvõtit või sertifikaati, mille ainus ülesanne on tõestada oma identiteeti käepigistuse ajal. Klientidel on vaja vastavat avalikku materjali selle kontrollimiseks ja privaatset poolt neil kunagi vaja ei ole. Just see asümmeetria teeb serveri autentimise võimalikuks ilma, et iga kasutaja saaks serverit jäljendada.

Kasutaja materjal liigub vastupidises suunas. Kliendi privaatvõti, kliendisertifikaat või parool näitab, et just sellele isikule või seadmele anti juurdepääs. Eeldatakse, et seda jagatakse, kopeeritakse seadmete vahel ja lõpuks tühistatakse.

WireGuard teeb eraldamise ilmselgeks, sest igal osalejal on võtmepaar: serveri privaatvõti jääb serverisse ja kasutajale antud konfiguratsioonifail sisaldab tema enda privaatvõtit pluss serveri avalikku võtit. Profiil, mis sisaldab serveri privaatvõtit, ei ole otsetee, vaid kompromiss, mis ootab failijagamist.

Kolm küsimust, mis otsustavad eraldamise

Küsige, kes peab saladust lugema, mida looks ründaja jaoks lekke korral võimalikuks ja kas parandus on üks tühistamine või teenuse ümberehitus.

Kui kasutaja saab seda lugeda ja see tõestab lüüsi identiteeti, siis teisele küsimusele on vastus, et ründaja saab teie serverit iga kliendi ees jäljendada — halvim tulemus, sest kliendid on loodud seda identiteeti usaldama. Kui see tõestab ainult üht kasutajat, annab leke selle kasutaja juurdepääsu ühele partnerile ja tühistamine on rutiinne toiming. Kui see on sertifitseerimisasutuse võti, on leke mõlemast hullem, sest ründaja saab luua identiteedid, mida iga lõpp-punkt usaldab.

Need kolm vastust annavad hoiustamisreegli: CA võti elab võrguühenduseta või seifis, lüüsi võti elab lüüsil ja kasutajavõtmed elavad kasutajate juures. Iga paigutus, mis paneb kõik kolm mugavuse huvides ühte kataloogi, on muutnud otsuse õnnetuseks.

Mida klient tegelikult vajab

Klient vajab avalikku sertifikaati või avalikku partneri võtit, CA materjali või sõrmejälge, mida usaldada, oma privaatvõtit ja lõpp-punkti üksikasju. See nimekiri ei sisalda midagi, mis kuulub lüüsi privaatse identiteedi juurde.

Dokumentatsioon on see, kus see lekkima hakkab. Juhend, mis ütleb kopeerige serveri kataloog ja kustutage see, mida te ei vaja, on juba õpetanud vale mudelit, sest kustutamise sammu järel alles jäänud faili kontrollib harva keegi.

Tühistage üks kasutaja lüüsi puutumata

Kuna kasutajaidentiteedid väljastatakse eraldi, saab neid eraldi tagasi võtta. Sertifikaadipõhine juurutus tühistab kliendisertifikaadi ja avaldab uuendatud tühistamisnimekirja; WireGuardi juurutus eemaldab partneri kirje serveri konfiguratsioonist. Kumbki neist toimingutest ei muuda lüüsi enda võtit.

Hoidke väljastamise arvestust, muidu ei tea te, millist identiteeti tagasi võtta. Arvutustabelist piisab, kui see nimetab isiku, seadme, seerianumbri või avaliku võtme ja kuupäeva, ning kui keegi haldab seda pärast seda, kui selle looja lahkub.

Allolevad käsud kontrollivad kliendisertifikaati ja tühistavad selle seejärel OpenSSL-stiilis asutuse kaudu, mis on voog, mida easy-rsa mähkib:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Avaldage uus nimekiri seal, kus kliendid seda kontrollivad, muidu on tühistamine märge failis, mis ei muuda midagi. Kui teie lüüs võtab kliendisertifikaate vastu tühistamisnimekirja vaatamata, öelge seda selgesõnaliselt, selle asemel et vihjata, et tühistamine töötab.

Hoidke varukoopiad sama eraldi kui saladused

Ümberehitusarhiiv sisaldab õiguspäraselt lüüsi võtit ja CA materjali, sest ilma nendeta ei saa taastamine teenust taastada. Kliendi seadistuspakett ei tohi ja neid kahte ei tohi koos hoiustada. Märgistage iga arhiiv selle järgi, kes tohib seda hoida, mitte loomise kuupäeva järgi. Just seda silti loeb väsinud administraator ööl vastu hommikut kell kaks.

See erinevus määrab ka, kes tohib kumbagi kätte saada. Lüüsi haldamine, kasutajaidentiteetide väljastamine ja varukoopiate lugemine on kolm erinevat volitust, ja see, kes vajab ühte, ei vaja automaatselt teisi. Kirjutage need load üles ja kontrollige neid seejärel selle vastu, mida teie hoidla tegelikult lubab, sest kataloogide pärimine annab vaikselt rohkem, kui poliitika kavatseb.