Zergatik behar dituzten zerbitzariko gakoek eta erabiltzailearen kredentzialek jabe bereiziak

Zure pasabidea bera dela frogatzen duen gakoa eta pertsona batek bat egin dezakeela dioen kredentziala biak dira sekretu, eta handik aurrera antzekotasuna amaitzen da. Batek zerbitzu bat identifikatzen du bezero bakoitzaren aurrean; besteak erabiltzaile bat identifikatzen du zerbitzu horren aurrean. Haiek nahasteak urrats bat aurrezten du konfigurazioan eta arratsalde bat kostatzen du gertakari baten erdian, bakoitzaren berreskurapena ez baita eragiketa bera. Bereizketa aspergarria da konfiguratzeko eta gogoangarria saihesteko.

Bi sekretu, bi jabe desberdin

Pasabideak gako pribatu bat edo ziurtagiri bat gordetzen du, eta haren zeregin bakarra eskuko agurran bere identitatea frogatzea da. Bezeroek harekin bat datorren material publikoa behar dute egiaztatzeko, eta ez dute inoiz erdi pribatua behar. Asimetria horrek egiten du posible zerbitzariaren autentifikazioa, erabiltzaile bakoitzari zerbitzaria ordezkatzeko gaitasuna eman gabe.

Erabiltzailearen materialak beste norabidea hartzen du. Bezeroaren gako pribatuak, bezeroaren ziurtagiriak edo pasahitzak frogatzen dute pertsona edo gailu zehatz horri sarbidea eman zaiola. Banatua, gailuen artean kopiatua eta azkenean baliogabetua izatea espero da.

WireGuardek begi-bistakoa egiten du bereizketa, parte-hartzaile bakoitzak gako-pare bat duelako: zerbitzariaren gako pribatua zerbitzarian geratzen da, eta erabiltzaile bati ematen diozun konfigurazio fitxategiak haren gako pribatua eta zerbitzariaren gako publikoa ditu. Zerbitzariaren gako pribatua duen profila ez da lasterbide bat, fitxategi partekatu baten zain dagoen konpromiso bat baizik.

Bereizketa erabakitzen duten hiru galdera

Galdetu nork irakurri behar duen sekretua, zer ahalbidetuko liokeen erasotzaileari filtrazio batek eta konponbidea baliogabetze bat edo zerbitzuaren berreraikuntza bat den.

Erabiltzaile batek irakur badezake eta pasabidearen identitatea frogatzen badu, bigarren galderaren erantzuna da erasotzaileak zure zerbitzaria ordezkatu dezakeela bezero bakoitzaren aurrean — emaitzarik okerrena, bezeroak identitate horretan fidatzeko diseinaturik daudelako. Erabiltzaile bakarra frogatzen badu, filtrazioak erabiltzaile horri pare batean sarbidea ematen dio, eta baliogabetzea errutinazko eragiketa da. Ziurtagiri-autoritate baten gakoa bada, filtrazioa biak baino okerragoa da, erasotzaileak mutur bakoitzak fidatzen dituen identitateak sor ditzakeelako.

Hiru erantzun horiek biltegiratze-araua ematen dute: CA gakoa lineaz kanpo edo kutxa gotor batean bizi da, pasabidearen gakoa pasabidean bizi da, eta erabiltzaileen gakoak erabiltzaileekin bizi dira. Hirurak erosotasunez karpeta bakarrean jartzen dituen edozein antolamenduk erabaki bat istripu bihurtu du.

Bezero batek benetan behar duena

Bezero batek ziurtagiri publikoa edo parearen gako publikoa behar du, fidatu behar duen CA materiala edo hatz-marka, bere gako pribatua eta muturreko xehetasunak. Zerrenda horretan ez dago pasabidearen identitate pribatukoa den ezer.

Dokumentazioa da hori filtratzen den tokia. Zerbitzariaren direktorioa kopiatu eta behar ez duzuna ezabatu esaten duen gidak okerreko eredua irakatsi du jada, ezabatzeko urratsaren ondoren geratzen den fitxategia gutxitan egiaztatzen baitu inork.

Baliogabetu erabiltzaile bat pasabidea ukitu gabe

Erabiltzaileen identitateak bereiz ematen direnez, bereiz ere ken daitezke. Ziurtagirietan oinarritutako ezarpenak bezeroaren ziurtagiria baliogabetzen du eta baliogabetze-zerrenda eguneratua argitaratzen du; WireGuard ezarpenean, berriz, parearen sarrera kentzen da zerbitzariaren konfiguraziotik. Eragiketa horietako batek ere ez du pasabidearen bere gakoa aldatzen.

Gorde islapen-erregistroa, bestela ez duzu jakingo zein identitate kendu. Kalkulu-orri bat nahikoa da, betiere pertsonaren izena, gailua, serie-zenbakia edo gako publikoa eta data adierazten baditu, eta betiere hura eraiki zuen pertsona joan ondoren norbaitek kudeatzen badu.

Beheko komandoek bezeroaren ziurtagiri bat aztertzen dute eta gero OpenSSL estiloko autoritate baten bidez baliogabetzen dute, hau da, easy-rsak biltzen duen fluxua:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Argitaratu zerrenda berria bezeroek egiaztatzen duten tokian, bestela baliogabetzea ezertan aldatzen ez duen fitxategi bateko oharra da. Zure pasabideak bezeroen ziurtagiriak onartzen baditu baliogabetze-zerrendari kontsultatu gabe, esan argi eta garbi, baliogabetzeak funtzionatzen duela iradoki beharrean.

Mantendu segurtasun-kopiak sekretuak bezain bereizita

Berreraikuntza artxibo batek legitoki dauka pasabidearen gakoa eta CA materiala, horiek gabe berreskurapenak ezin baititu zerbitzua birsortu. Bezeroaren konfigurazio paketeak ez du, eta biak ez dira elkarrekin gorde behar. Etiketatu artxibo bakoitza nori zuzenduta dagoen arabera, egiteko dataz ez ezik. Etiketa horixe irakurtzen dute administratzaile nekatuenek goizeko ordu bietan.

Bereizketa horrek ere finkatzen du nork eskuratu dezakeen bakoitza. Pasabidea administratzea, erabiltzaileen identitateak islatzea eta segurtasun-kopiak irakurtzea hiru ahalmen desberdin dira, eta bat behar duenak ez ditu automatikoki besteak behar. Idatzi baimen horiek, eta gero egiaztatu zure biltegirak benetan onartzen duenaren aurka, direktorioen oinordetzak politikak nahi duena baino gehiago ematen baitu isilean.