Une identité VPN par appareil : pourquoi le partage casse le retrait

Un profil copié sur un ordinateur portable, un téléphone et une tablette fonctionne bien jusqu’à ce que l’un d’eux soit perdu. À ce moment-là, le choix est d’interrompre chaque appareil qui partage l’identité ou de laisser l’accès indésirable en place. Les deux options sont pires que les dix minutes qu’il aurait fallu pour émettre trois identités. Le mécanisme n’est pas compliqué : un pair VPN est un enregistrement d’autorisation, et un enregistrement par appareil est ce qui transforme le retrait en une seule action précise.

Ce qu’un profil partagé partage

Copier une clé privée copie toute l’autorisation : l’entrée du pair, l’adresse du tunnel et les routes et politiques qui y sont attachées. Le serveur ne peut pas distinguer les copies, car le protocole identifie un pair par la clé et non par l’appareil. Chaque ligne de journal, chaque limite et chaque décision de révocation s’appliquent au groupe. Un profil partagé n’est donc pas une commodité avec un petit coût de sécurité, c’est un point de défaillance unique auquel plusieurs appareils sont attachés.

La même logique s’applique à un compte partagé détenant un seul certificat.

Approvisionnez avec le modèle d’identité que vous avez

Un déploiement WireGuard peut autoriser des clés de pair distinctes, une par appareil. Un déploiement à base de certificats peut émettre des certificats clients individuels depuis sa propre autorité. Un système de comptes peut combiner un utilisateur avec des enregistrements d’appareils séparés, selon le produit. Utilisez le processus d’enrôlement pris en charge par l’opérateur, car générer un nouveau secret local ne fait rien tant que le pair ou la passerelle ne reconnaît pas l’autorisation correspondante.

La voie prise en charge est aussi celle qui survit à la prochaine mise à niveau.

Inventaire sans secrets

Gardez l’étiquette de l’appareil, l’identifiant public et le propriétaire dans un inventaire que vous pouvez interroger. Ne copiez pas de clés privées dans cet inventaire, car cela transforme une liste d’actifs en magasin d’identifiants.

Une ligne disant « Portable d’Ana, clé publique du pair, émise le 12 mars » suffit pour agir.

Le retrait est une procédure, pas un bouton

Notez comment désactiver exactement un appareil et si une session active nécessite une étape de terminaison distincte. Vérifiez la persistance, pour qu’un redémarrage ou une ancienne sauvegarde de configuration ne réintroduise pas l’autorisation. Confirmez que le retrait a pris effet en essayant de vous connecter depuis l’appareil retiré. Vérifiez ensuite si autre chose référençait cette identité, comme une sonde de supervision ou une route partagée.

L’étape que les gens sautent est la dernière, et c’est la seule qui prouve le changement.

Ordre de remplacement

Émettez d’abord le nouvel appareil, vérifiez-le par rapport à la ressource dont il a besoin, puis mettez l’ancien hors service. L’exception est l’exposition : si l’ancien appareil peut être entre d’autres mains, retirez-le d’abord et acceptez l’interruption.

Dans tous les cas, examinez les exports enregistrés sur le matériel retiré avant qu’il ne quitte le bâtiment.

Ce que les identités séparées vous apportent

Trois choses, et chacune apparaît lors d’un incident :

• Révoquer un appareil sans toucher aux autres.
• Attribuer une connexion à un appareil, pas à un groupe.
• Expliquer une défaillance sans collecter l’activité de tout le monde.

Les recommandations de l’opérateur font autorité sur son propre modèle d’approvisionnement, qu’il s’agisse de clés par pair comme dans le démarrage rapide WireGuard ou de certificats individuels d’une autorité locale. Des enregistrements distincts font la différence entre une flotte sur laquelle vous pouvez raisonner et une flotte que vous ne pouvez que réinitialiser.