દરેક ઉપકરણ માટે એક પ્રમાણપત્ર કીને ઉપકરણ સાથે બાંધતું નથી
દરેક ઉપકરણ માટે પ્રમાણપત્ર એ વહીવટી પસંદગી છે, ઉપકરણ સાથેનું બંધન નથી. બંધન નક્કી કરે છે ખાનગી કી ક્યાં રહે છે, નકલ કરી શકાય તેવી ફાઇલથી TPM સુધી.
તમે દરેક લેપટોપ માટે અલગ પ્રમાણપત્ર આપો છો, એટલે ધારો છો કે VPN તેમને અલગ પારખી શકશે. નહીં પારખી શકે. ક્લાયન્ટ પ્રમાણપત્ર સાબિત કરે છે કે જે જોડાય છે તેની પાસે મેળ ખાતી ખાનગી કી છે, અને નકલ કરેલી પ્રોફાઇલમાં પણ તે હોય છે.
દરેક ઉપકરણ માટે પ્રમાણપત્ર હજી પણ સારો વિચાર છે. તે ફક્ત મોટાભાગના લોકો ધારે છે તેનાથી અલગ કામ કરે છે.
ક્લાયન્ટ પ્રમાણપત્ર ખરેખર શું સાબિત કરે છે
હેન્ડશેક દરમિયાન ક્લાયન્ટ પોતાના પ્રમાણપત્ર સાથે મેળ ખાતી ખાનગી કી વડે સહી કરે છે, અને સર્વર તે સહી પોતે ભરોસો કરતા CA સામે ચકાસે છે. તે આદાનપ્રદાનમાં મશીનનું કોઈ વર્ણન નથી. પ્રમાણપત્ર અને કી બંને ધરાવતું કોઈપણ ઉપકરણ સમાન સહી બનાવે છે, તેથી બીજા લેપટોપ પર નકલ કરેલી પ્રોફાઇલ મૂળ જેવી જ દેખાય છે. પ્રમાણપત્ર ઓળખનું નામ આપે છે; હાર્ડવેરનું નામ આપતું નથી.
દરેક ઉપકરણ માટે અનન્યતા હજી પણ મૂલ્યવાન છે, કારણ કે તે રદ કરવાનું ચોક્કસ બનાવે છે. તે વહીવટી ગુણધર્મ છે, તકનીકી તાળું નથી.
કી સંગ્રહના ત્રણ સ્તર
પ્રથમ સ્તર ડિસ્ક પરની કી ફાઇલ છે. તે ડિઝાઇનથી જ વહનયોગ્ય છે, અને મોટાભાગની OpenVPN પ્રોફાઇલ ત્યાં જ રહે છે.
બીજું સ્તર એ કી છે જેને ઓપરેટિંગ સિસ્ટમ નિકાસ-અયોગ્ય તરીકે ચિહ્નિત કરે છે. Windows પોતાના પ્રમાણપત્ર સંગ્રહમાં ઉપકરણ કી બનાવી શકે છે અને સામાન્ય નિકાસ નકારી શકે છે, જે આકસ્મિક નકલ અટકાવે છે. તે હાર્ડવેર-આધારિત નથી, અને મશીનમાં પૂરતી પહોંચ હોય તો આવી કી પુનઃપ્રાપ્ત કરી શકાય છે, તેથી તે દીવાલ બનાવવાને બદલે મહેનત વધારે છે.
ત્રીજું સ્તર સુરક્ષા હાર્ડવેરની અંદર બનેલી કી છે: TPM, સ્માર્ટ કાર્ડ, SIM અથવા PIV ટોકન. તે મોડ્યુલોમાં પોતે બનાવેલી કી નિકાસ કરવાનું સર્કિટ નથી, અને સહી મોડ્યુલની અંદર જ થાય છે. કી ક્યારેય એવી ફાઇલ બનતી નથી જે કોઈ નકલ કરી શકે.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
તે કોષ્ટક ત્રણ હરોળમાં આખી દલીલ છે.
easy-rsa શું કરી શકે અને શું ન કરી શકે
દરેક ઉપકરણ માટે પ્રમાણપત્ર આપવું સરળ છે. એક જ CA સામે દરેક ઉપકરણ માટે અલગ સામાન્ય નામ બનાવો, જેમ કે ./easyrsa build-client-full laptop-a nopass, અને દરેક ઉપકરણ માટે પુનરાવર્તન કરો. કયું સામાન્ય નામ કઈ વ્યક્તિ અને મશીનનું છે તે નોંધો.
રદ કરવું પણ એટલું જ સીધું છે: ./easyrsa revoke laptop-a, ./easyrsa gen-crl વડે CRL ફરી બનાવો, અને ખાતરી કરો કે સર્વર ખરેખર crl-verify દ્વારા તેને વાંચે છે.
CA જે કરી શકતું નથી તે એ છે કે પછી ખાનગી કી ક્યાં રહે છે તે ચકાસવું. જો તમે CA હોસ્ટ પર કી બનાવીને ઉપકરણ પર નકલ કરો, તો અભ્યાસ સમયે બીજી નકલ બનાવી. નિકાસ-અયોગ્ય કી ઉપકરણ પર જ બનાવવી પડે, અથવા એવા હાર્ડવેરમાં આયાત કરવી પડે જે તેને છોડશે નહીં.
નકલ કરેલી પ્રોફાઇલમાં ટકી રહેતા નિયંત્રણો
ધારો કે પ્રોફાઇલની નકલ થઈ શકે છે અને તે મુજબ રચના કરો. ખાતાને બીજા પરિબળ સાથે જોડો જેથી ફક્ત પ્રમાણપત્ર પૂરતું ન થાય. દરેક ઉપકરણને તેની પોતાની નીતિ આપો જેથી એક ઓળખની પહોંચ મર્યાદિત રહે. અને એ જ સામાન્ય નામ બે સરનામાંથી એકસાથે જોડાય છે કે નહીં તે જુઓ, કારણ કે કનેક્શન લોગમાં વહેંચાયેલી પ્રોફાઇલ એવી જ દેખાય છે.
ઝડપી અને દસ્તાવેજીકૃત રદ કરવું એ જ નિયંત્રણ છે જે નકલ થઈ ગયા પછી પણ કામ કરે છે. બાકીનું બધું અટકાવ છે.
સર્વર ખરેખર જે દાવા પર આધાર રાખી શકે
અનન્યતા CA તરફથી આવે છે. ઉપકરણ સાથેનું બંધન કી સંગ્રહ તરફથી આવે છે. ફક્ત એ હાર્ડવેર જે પોતાની કી નિકાસ કરી શકતું નથી, તે દરેક ઉપકરણ માટેના એક પ્રમાણપત્રને બધા સહમત થતી નીતિને બદલે સર્વર લાગુ કરે તેવા દાવામાં ફેરવે છે.