Cá háit ar cheart eochair phríobháideach VPN a bheith: comhad, CNG nó TPM?

Réitíonn dhá cheist cá háit a mbaineann eochair phríobháideach VPN leis: an féidir an t-ábhar eochrach a chóipeáil ón óstach, agus an féidir le próiseas í a úsáid gan duine ar bith ag an méarchlár. Ní fhreagraíonn lipéad margaíochta stóir ceachtar acu. Teastaíonn úsáid gan duine ó dhaemon tolláin a chaithfidh teacht ar ais tar éis atosaigh, rud a chuireann as an áireamh aon rud atá faoi ghlas ag PIN a chlóscríobhann duine.

Roghnaigh idir cóipeáil agus úsáid

Teipeann an chóipeáil agus an úsáid ar bhealaí éagsúla, mar sin caith leo mar dhá riachtanas seachas ceann amháin. Iompraíonn ionsaitheoir atá in ann na bearta eochrach a léamh an t-aitheantas chuig óstach eile, agus ní thugann an meaisín bunaidh faoi deara. Déanann ionsaitheoir nach féidir leis na bearta a léamh ach ar féidir leis an bpróiseas sínithe a bhaint amach fíordheimhniú fós chomh fada agus a mhaireann an rochtain sin.

Is féidir comhad eochrach a chóipeáil go fánach, agus is é sin an fáth freisin gurb é an ceann is éasca a chúltacú agus a athchóiriú. Athraíonn stór eochrach bogearraí an API, ní an teorainn: diúltaíonn an soláthraí dá ghlaonna onnmhairithe féin, ach is gnách go mbíonn bealaí eile chuig an ábhar ag an gcomhthéacs riarthóra céanna a shuiteáil an eochair. Is ráiteas é neamh-onnmhairithe i soláthraí bogearraí faoi oibríochtaí a fhaightear tacaíocht dóibh, ní cruthúnas ar bhalla crua-earraí. Caith leis mar mhoill ar chóipeáil fhánach, ní mar chosaint ar dhuine a bhfuil do sheisiún aige cheana.

Ritheann TPM nó cárta cliste an oibríocht sínithe istigh i gcrua-earraí agus ní thugann sé ach an toradh ar ais. Dúnann sé sin an cosán cóipeála agus fágann sé an cosán úsáide oscailte do rud ar bith atá in ann síniú a iarraidh.

Meaitseáil an stór leis an daemon tolláin

Cuireann an daemon srian níos mó air seo ná mar a dhéanann an beartas slándála. Tógann WireGuard eochair phríobháideach base64 ó chomhad nó ó ionchur wg set agus níl aon bhealach aige isteach i stór teastas, mar sin níl eochair chomhéadain atá tacaíochta ag TPM ar an tábla. Is féidir le OpenVPN a tógadh i gcoinne OpenSSL 3 eochair a lódáil trí URI soláthraí, agus seolann strongSwan breiseán TPM in éineacht le tacaíocht PKCS#11, ach braitheann an dá rud ar conas a tiomsaíodh do phacáiste.

Déanann daemon nach féidir leis an stór roghnaithe a bhaint amach de na teorainneacha crua-earraí maisiúchán. Onnmhairíonn duine an eochair uair amháin, fágann sé i gcomhad í, agus ritheann an chuid eile den dearadh go ciúin ar an gcóip sin.

Is é an t-athnuachan an leath eile den mheaitseáil, agus is ansin a thiteann formhór na ndearaí as a chéile. Déantar a sheachaint ar stór a oibríonn don chéad chlárú ach a éilíonn logáil isteach ar chonsól le haghaidh gach atheisiúna an chéad uair a théann teastas as feidhm ag uair mhíchuí. Tástáil an cosán atheisiúna fad a bhfuil míonna fágtha ag an eochair reatha.

Déan fardal den eochair sula mbogann tú í

Taifead cad é an eochair sula n-athraíonn tú cá háit a bhfuil sí, mar bíonn athshlánú a chailleann na subject alternative names ag briseadh an tolláin ar bhealach a léitear mar locht ródaithe. Dumpáil an teastas, deimhnigh go bhfuil an eochair phríobháideach inléite san áit a mbíonn an daemon ag súil léi, agus seiceáil go n-oireann an péire dáiríre.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

Caithfidh an dá dhíoltóir deireanacha a bheith comhionann. Mura bhfuil, críochnaíonn an daemon a shocrú agus teipeann sé ansin ar gach iarracht le hearráid teastais nó sínithe nach bpointeálann aon áit in aice leis an bhfíor-chúis. Tá coibhéis WireGuard níos giorra, toisc go ndíorthaítear an eochair phoiblí go díreach ón gceann príobháideach: caithfidh wg pubkey < /etc/wireguard/wg0.key an eochair piaraí atá ag do fhreastalaí cheana a phriontáil.

Baineann ceadanna leis an bhfardal céanna. Ba cheart go dtabharfadh stat -c '%a %U:%G' /etc/wireguard/wg0.key 600 root:root ar ais, agus ciallaíonn aon rud atá inléite ag grúpa nó ag an domhan go raibh an eochair ar fáil cheana do phróisis nár cheap tú riamh.

Seiceáil an stór agus an cosán úsáide

Tá trí chuid sa fhíorú, agus scipeáiltear an tríú cuid. Deimhnigh go bhfuil an eochair sa stór a roghnaigh tú, deimhnigh gur lódáil an daemon an eochair sin agus ní cóip fágtha, agus ansin deimhnigh go dtosaíonn sé fós nuair a bhíonn déantán an onnmhairithe imithe.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

Ar Windows liostaíonn an chéad ordú an stór pearsanta agus priontálann sé an soláthraí eochrach in aice le gach iontráil, agus is ansin a thagann teastas a bhféachann le crua-earraí air ach a shuíonn sa soláthraí bogearraí chun solais. Liostaíonn an dara ceann eochracha atá ag soláthraí cripte an ardáin, mar sin ciallaíonn aitheantas VPN atá ar iarraidh ansin agus a theastas i láthair go bhfuil an leath phríobháideach ina chónaí in áit eile. Ar gheata Linux, tuairiscíonn ipsec listcerts cad a lódáil strongSwan, lena n-áirítear eochracha a tháinig ó bhreiseán TPM. Déan comparáid idir mhéarloirg nó haiseanna eochrach poiblí agus an fardal seachas brath ar líon na n-iontrálacha.

Is é an tástáil dhiúltach an ceann a chruthaíonn an dearadh. Bog an eochair onnmhairithe amach as eolaire cumraíochta an daemon, atosaigh an tseirbhís, agus léigh sa logáil an t-aitheantas a chuireann sí i láthair. Úsáideann tollán a thagann suas fós an stór; ciallaíonn tosú teipthe go raibh an dearadh i ndáiríre ag rith ar chóip.

Scríobh síos athnuachan agus aischur

Tá an t-aischur an-difriúil idir an dá theaghlach, agus baineann an difríocht sin leis an nóta deartha seachas le glao teagmhais. Is féidir comhad eochrach a chúltacú go criptithe agus a athchóiriú, mar sin is féidir athshlánú teipthe a aisiompú. Ní féidir eochair neamh-onnmhairithe a chúltacú ar chor ar bith, rud a fhágann atheisiúint agus athchlárú mar an t-aon bhealach aisghabhála nuair a fhaigheann an gléas bás.

Seiceáil an t-éag sula n-iompaíonn sé ina chliseadh seirbhíse: críochnaíonn openssl x509 -in vpn.crt -noout -checkend 2592000 le cóid neamh-nialas nuair a théann an teastas as feidhm laistigh de thríocha lá, mar sin téann sé go díreach isteach i seiceáil faireacháin. Gabhann rith seachtainiúil den líne sin an t-athnuachan nár sceideal aon duine.

Déantar baint ar an bhfreastalaí: scrios an piara nó tarraing siar an tsraithuimhir, agus ansin deimhnigh go dteipeann an tollán, ós rud é gur féidir le cliant a bhfuil seisiún i dtaisce aige tarraingt siar leathchríochnaithe a cheilt ar feadh tamaill. Caithfidh an tarraingt siar an cosán CRL nó OCSP an tiomsaitheora a bhaint amach freisin, ní hamháin bunachar an CA. Is doiciméad poiblí é teastas, agus clúdaíonn próifíl RFC 5280 conas a bhailítear é; ní chosnaíonn aon chuid den bhailíochtú sin eochair phríobháideach a cóipeáladh roimh an rothlú.

Scríobh an cinneadh in aon áit amháin: cé acu stór a choinníonn an eochair, cé an próiseas a fhéadfaidh í a úsáid, cé atá in ann í a atheisiúint agus cad é an t-aischur. Is é an mhír sin a iarrann iniúchóirí, agus is é a mhaireann athrú foirne.