WireGuard-kaaien op ESP32: per apparaat of ien ynboud?

De skets set de privee WireGuard-kaaie yn in tekenarray, en de tunnel wurket, dêrom komt de fraach hieltyd wer op. It beslút dat jo echt nimme moatte is net «is dit feilich» mar «hokker fan trije betingsten jildt foar dizze útrulling». Se binne: wa’t it apparaat fysyk hâlde kin, wat in flitslêzing by jo part oplevert, en oft de float ien kaaie dielt of elk ien draacht. Beäntwurdzje dat en it ûntwerp folget, want elk fan harren feroaret de kosten fan in lekke kaaie, net it feit dat se lekke kin.

Wat de kaaie tastean

WireGuard ferifiearret pearen mei in iepenbiere kaaie. De server mapt de iepenbiere kaaie fan elk pear nei in adres en in AllowedIPs list, dus de privee kaaie is wat in kliïnt tastean lit om ferkear fan dat adres te stjoeren.

Deselde ynfier beslút hokker bestimmingen it apparaat berikke mei, dus in lekke kaaie leit sawol it netwurk efter de tunnel as it tunneladres bleat.

Betingst ien: wa’t it apparaat hâlde kin

As de ienheid yn in ôfsletten kast stiet en nimmen bûten jo team der oan komt, is de bleatstelling foaral in fraach fan firmware-distribúsje. As it nei klanten ferstjoerd wurdt, yn in auto stiet of ûnder garânsje weromkomt, is fysyk besit it bewiis en is de geheimhâlding fan it binêre bestân twadrêdich. Wa’t it apparaat yn ’e hân hat, hoecht de kaaie net te lêzen, want de draaiende firmware sil de tunnel foar him iepenje. Dêrom moat it antwurd fan ’e serverside werropping en in beheinde libbensdoer befetsje, net allinnich in beskerme byld.

Beslis dizze betingst foar de oare twa, want se set it budzjet foar beide.

Betingst twa: wat in flitslêzing oplevert

Elkenien dy’t it flitsbyld lêze kin, hellet in kaaie werom dy’t as literaal opslein is, itsij fia in debug-ferbining, in bywurkingsbestân, in reservekopie of in werombrochte ienheid. Flitsfersifering ferheget de kosten fan in direkte dump, en de ESP-IDF-dokumintaasje beskriuwt wat de funksje foar in beskaat part en konfiguraasje beslacht. It makket de kaaie net ûnútlisber ûnder elk oanfalsmodel, en it docht neat foar it gefal dat it apparaat yn ’e hân is. Behannelje it as ien laach dy’t kosten feroaret, net as it antwurd.

Lês de platfoarmdokumintaasje foar jo krekte chip en konfiguraasje foardat jo in eigenskip beweare yn in ûntwerpresinsje.

Betingst trije: wergebrûk oer de hiele float

Ien kaaie foar in produksjerige betsjut dat elke ienheid ien identiteit dielt. De server kin se net yn de logboeken ûnderskiede, kin ien net werroppe sûnder allegear te werroppen, en kin in kloon net fan in orizjineel ûnderskiede. Kaaien per apparaat ferhelje alle trije, tsjin de priis fan in ynskriuwstap en in mapping fan searjenûmer nei iepenbiere kaaie. Dy mapping is it besit dat werropping feroaret yn in feroaring fan ien regel ynstee fan in floatbrede werflits.

As de float fiif ienheden op in bank is, kin in dielde kaaie in ridlike ruil wêze. As it fiifhûndert yn it fjild is, is it hielendal gjin ruil.

It ynskriuwpatroan dat kaaien per apparaat praktysk makket

Generearje it kaaiepear op it apparaat by de earste opstart, hâld de privee helte yn beskerme net-flechtich ûnthâld, en stjoer allinnich de iepenbiere kaaie nei in ynskriuwtsjinst dy’t in adres tawiist en de pearynfier skriuwt. Ferifiearje it ynskriuwantwurd, oars kin in oanfaller op it lokale netwurk syn eigen kaaie op jo akkount registrearje. Printsje de privee kaaie noait nei de searjekonsoale by it provisionearjen. Skriuw it searjenûmer fan it apparaat njonken de iepenbiere kaaie, sadat in ferlern ienheid krekt op ien pearynfier past.

Dat is in lytse tsjinst, en it is it ferskil tusken in float dy’t jo auditearje kinne en in float dy’t jo allinnich werflitse kinne.

Tiid, einpunten en it beslút

It foarbyld syngronisearret tiid foardat de tunnel start, en dat jildt bûten TLS: WireGuard-hânskoften drage in tiidstimpel foar beskerming tsjin werhelling, dus in apparaat dat mei in ferkeard oer wurket, kin hânskoften wegere krije. It einpunt is in hostnamme, wat DNS yn it fertrouwenspaad set, ek al ferifiearret de iepenbiere kaaie fan de server it pear noch. In ferkeard adres fergriemt besykjen en ferriedt wannear’t it apparaat online is. Regelje beide foardat jo oer de kaaie diskusjearje.

Beslis dan: in dielde kaaie allinnich wylst besit kontrolearre is en de float lyts, kaaien per apparaat sa gau as ien fan beide net mear wier is.