Gailu bakoitzeko ziurtagiri batek ez du gakoa gailuari lotzen
Gailu bakoitzeko ziurtagiri bat administrazio-erabakia da, ez gailuari lotzea. Lotura erabakitzen duena gako pribatua non dagoen da, kopia daitekeen fitxategitik TPM batera.
Gailu bakoitzeko ziurtagiri bereizi bat jaulkitzen duzu, beraz suposatzen duzu VPNak bereizi ditzakeela. Ezin du. Bezero-ziurtagiri batek frogatzen du konektatzen denak dagokion gako pribatua duela, eta kopiatutako profilek ere badu.
Gailu bakoitzeko ziurtagiria ideia ona da oraindik. Beste lan bat egiten du, gehienek espero dutena baino desberdina.
Zer frogatzen duen bezero-ziurtagiri batek benetan
Esku-ukitzean bezeroak bere ziurtagiriari dagokion gako pribatuarekin sinatzen du, eta zerbitzariak sinadura hori fidatzen duen CAren aurka egiaztatzen du. Truke horretan ezerk ez du makina deskribatzen. Ziurtagiria eta gakoa dituen edozein gailuk sinadura berbera sortzen du, beraz bigarren eramangarri batera kopiatutako profil bat jatorrizkoaren berdin-berdina da. Ziurtagiriak identitate bat izendatzen du; ez du hardwarea izendatzen.
Gailu bakoitzeko bakantasunak merezi du oraindik, ezeztatzea zehatza egiten duelako. Administrazio-propietatea da, ez blokeo teknikoa.
Gakoa gordetzeko hiru maila
Lehen maila diskoan dagoen gako-fitxategi bat da. Diseinuz eramangarria da, eta han bizi dira OpenVPN profil gehienak.
Bigarren maila sistema eragileak esportaezintzat markatzen duen gako bat da. Windowsek gailu-gako bat sor dezake bere ziurtagiri-biltegian eta esportazio arrunta ukatu, eta horrek ustekabeko kopia eragozten du. Ez du hardwarearen babesa, eta makinara sarbide nahikoa izanez gero halako gakoak berreskura daitezke, beraz ahalegina handitzen du, horma bat eraiki beharrean.
Hirugarren maila segurtasun-hardwarearen barruan sortutako gako bat da: TPM, txartel adimenduna, SIM edo PIV token bat. Modulu horiek ez dute sortu duten gakoa esportatzeko zirkuitura, eta sinadura moduluaren barruan gertatzen da. Gakoa ez da inoiz inork kopia dezakeen fitxategi bihurtzen.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Taula hori da argudio osoa hiru errenkadatan.
Zer egin dezakeen easy-rsak eta zer ez
Gailu bakoitzeko ziurtagiriak jaulkitzea erraza da. Sortu gailu bakoitzeko izen komun desberdin bat CA beraren aurka, adibidez ./easyrsa build-client-full laptop-a nopass, eta errepikatu gailu bakoitzeko. Idatzi zein izen komun dagokion zein pertsonari eta makinari.
Ezeztatzea bezain zuzena da: ./easyrsa revoke laptop-a, birsortu CRLa ./easyrsa gen-crl erabiliz, eta ziurtatu zerbitzariak benetan irakurtzen duela crl-verify bidez.
CAk ezin duena da gero gako pribatua non dagoen egiaztatzea. Gakoa CA ostalarian sortu eta gailura kopiatzen baduzu, bigarren kopia bat sortu zenuen jaulkipenean. Esportaezina den gakoa gailuan sortu behar da, edo askatuko ez duen hardwarean inportatu.
Kopiatutako profil bati eusten dioten kontrolak
Egin suposizioa profila kopia daitekeela eta diseinatu horren arabera. Lotu kontua bigarren faktorera, ziurtagiri bat soilik nahikoa izan ez dadin. Eman gailu bakoitzari bere politika, identitate baten irismena mugatuta izan dadin. Eta begiratu izen komun bera bi helbidetatik aldi berean konektatzen denean, horrela ikusten baita partekatutako profil bat konexio-erregistroan.
Ezeztatze azkar eta dokumentatuak dira kopia bat gertatu ondoren ere funtzionatzen duen kontrola. Gainerako guztia prebentzioa da.
Zerbitzariak benetan oinarritu dezakeen baieztapena
Bakantasuna CAtik dator. Gailuari lotzea gakoa gordetzetik dator. Bere gakoa esportatu ezin duen hardwareak soilik bihurtzen du gailu bakoitzeko ziurtagiri bat zerbitzariak inposatzen duen baieztapen, denek onartzen duten politika bat izan beharrean.