Ina maɓallin sirri na VPN ya kamata ya rayu: fayil, CNG ko TPM?

Tambayoyi biyu ne ke ƙayyade inda maɓallin sirri na VPN ya kamata ya kasance: shin ana iya kwafin kayan maɓallin daga mai masaukin, kuma shin wani tsari zai iya amfani da shi ba tare da kowa a kan madannai ba. Alamar tallan ajiya ba ta amsa ɗaya daga cikinsu. Daemon ɗin rami da dole ya dawo bayan sake kunnawa yana buƙatar amfani ba tare da kulawa ba, wanda ke kawar da duk abin da ya dogara da PIN da mutum ya buga.

Zaɓi tsakanin kwafi da amfani

Kwafi da amfani suna kasawa daban-daban, don haka ɗauke su a matsayin buƙatu biyu ba ɗaya ba. Mai hari da zai iya karanta bytes ɗin maɓallin yana ɗaukar asalin zuwa wani mai masauki, kuma injin na asali ba ya lura. Mai hari da ba zai iya karanta bytes ɗin ba amma ya isa tsarin sa hannu yana ci gaba da tabbatarwa muddin wannan damar ta kasance.

Maɓalli a cikin fayil ana iya kwafa shi cikin sauƙi, shi ya sa kuma shi ne mafi sauƙin ajiya da dawo da shi. Ajiyar maɓalli ta software tana canza API, ba iyaka ba: mai bayarwa yana ƙin kiran fitarwa nasa, amma yanayin mai gudanarwa ɗaya da ya shigar da maɓallin yawanci yana da wasu hanyoyi zuwa kayan. Rashin fitarwa a mai bayarwa na software magana ce game da ayyukan da aka tallafa, ba hujja ba ce ta bangon kayan aiki. Ka ɗauke shi a matsayin mai rage gudu ga kwafin da ba a yi niyya ba, ba kariya ba daga wanda ya riga ya riƙe zaman ka.

TPM ko katin wayo yana gudanar da aikin sa hannu a cikin kayan aiki kuma yana mayar da sakamako kawai. Wannan yana rufe hanyar kwafi kuma yana barin hanyar amfani a buɗe ga duk abin da zai iya neman sa hannu.

Daidaita ajiya da daemon ɗin rami

Daemon ɗin yana ƙuntata wannan fiye da manufar tsaro. WireGuard yana ɗaukar maɓallin sirri na base64 daga fayil ko daga shigarwar wg set kuma ba shi da hanyar zuwa ajiyar takaddun shaida, don haka maɓallin mu'amala da TPM ke tallafa wa ba a la'akari da shi. OpenVPN da aka gina a kan OpenSSL 3 na iya loda maɓalli ta hanyar URI na mai bayarwa, kuma strongSwan yana ba da ƙarin TPM tare da tallafin PKCS#11, amma duka biyu sun dogara da yadda aka haɗa fakitin ka.

Daemon ɗin da ba zai iya isa ajiyar da aka zaɓa ba yana mai da iyakar kayan aiki kayan ado. Wani yana fitar da maɓallin sau ɗaya, ya bar shi a cikin fayil, sauran ƙirar kuma suna gudana a hankali a kan wannan kwafin.

Sabuntawa ita ce rabin ɗayan daidaitawa, kuma a nan ne yawancin ƙira suke rugujewa. Ajiyar da ke aiki a rajista ta farko amma tana buƙatar shiga console don kowane sake fitarwa ana tsallake ta a karon farko da takardar shaida ta ƙare a sa'ar da ba ta dace ba. Gwada hanyar sake fitarwa yayin da maɓallin na yanzu yake da watanni.

Yi lissafin maɓalli kafin matsar da shi

Rubuta menene maɓallin kafin ka canza inda yake rayuwa, domin ƙaura da ta rasa subject alternative names tana karya ramin ta hanyar da ake karantawa a matsayin kuskuren turawa. Fitar da takardar shaida, tabbatar cewa ana iya karanta maɓallin sirri a inda daemon ɗin yake tsammani, kuma duba cewa ma'auratan sun yi daidai da gaske.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

Dole ne taƙaitattun biyu na ƙarshe su kasance iri ɗaya. Idan ba haka ba, daemon ɗin yana kammala saitin sannan ya kasa a kowane yunƙuri da kuskuren takardar shaida ko sa hannu wanda ba ya nuna ko'ina kusa da ainihin dalili. Kwatankwacin WireGuard ya fi guntu, domin an samo maɓallin jama'a kai tsaye daga na sirri: wg pubkey < /etc/wireguard/wg0.key dole ne ya buga maɓallin abokin da uwar garken ka ya riga ya adana.

Izini suna cikin wannan jerin. stat -c '%a %U:%G' /etc/wireguard/wg0.key ya kamata ya dawo da 600 root:root, kuma duk abin da rukuni ko duniya ke iya karantawa yana nufin maɓallin ya riga ya kasance ga matakai da ba ka taɓa nufi ba.

Duba ajiya da hanyar amfani

Tabbatarwa tana da sassa uku, kuma na uku shi ne ake tsallakewa. Tabbatar cewa maɓallin yana cikin ajiyar da ka zaɓa, tabbatar cewa daemon ɗin ya loda wannan maɓallin ba kwafin da ya rage ba, sannan tabbatar cewa har yanzu yana farawa lokacin da kayan fitarwa ya tafi.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

A Windows umarni na farko yana lissafa ajiyar sirri kuma yana buga mai bayar da maɓalli a gefen kowace shigarwa, kuma a nan ne takardar shaida da ke kama da tallafin kayan aiki amma tana zaune a mai bayarwa na software ke bayyana. Na biyu yana lissafa maɓallan da mai bayar da kwayoyin sirri na dandali ke riƙe, don haka asalin VPN da ya ɓace a wurin yayin da takardar shaidarsa take akwai yana nufin rabin sirri yana rayuwa a wani wuri. A ƙofar Linux, ipsec listcerts yana ba da rahoton abin da strongSwan ya loda, gami da maɓallan da suka fito daga ƙarin TPM. Kwatanta sawun yatsa ko hash ɗin maɓallin jama'a da jerin maimakon dogara da adadin shigarwar.

Jarabawa mara kyau ita ce ke tabbatar da ƙirar. Matsar da maɓallin da aka fitar daga cikin kundin saitin daemon ɗin, sake kunna sabis ɗin, kuma karanta a cikin rajista wane asali yake gabatarwa. Ramin da ya tashi duk da haka yana amfani da ajiyar; farawa da ya kasa yana nufin ƙirar tana gudana a kan kwafi da gaske.

Rubuta sabuntawa da dawowa

Dawowa ya bambanta sosai tsakanin iyalai biyu, kuma wannan bambancin na bayanin ƙira ne, ba kiran lamari ba. Ana iya ajiye maɓallin fayil ɗin da aka ɓoye kuma a dawo da shi, don haka ƙaurar da ta kasa tana iya juyawa. Maɓallin da ba za a iya fitarwa ba ba za a iya ajiye shi kwata-kwata, wanda ke mai da sake fitarwa da sake rajista hanya ɗaya ta farfadowa lokacin da na'urar ta mutu.

Duba ƙarewar kafin ya zama cikas: openssl x509 -in vpn.crt -noout -checkend 2592000 yana ƙarewa da lambar da ba sifili ba lokacin da takardar shaida ta ƙare cikin kwana talatin, don haka yana shiga kai tsaye cikin binciken sa ido. Gudanar da wannan layin kowane mako yana kama sabuntawar da babu wanda ya tsara.

Cirewa yana faruwa a uwar garke: share abokin ko soke lambar jerin, sannan tabbatar cewa ramin ya kasa, domin abokin ciniki da ke da zaman da aka adana na iya ɓoye sokewar da ba ta kammala ba na ɗan lokaci. Sokewar dole ta isa hanyar CRL ko OCSP ta mai tattarawa, ba kawai bayanan CA ba. Takardar shaida takarda ce ta jama'a, kuma bayani na RFC 5280 ya ƙunshi yadda ake tabbatar da ita; babu wani abu a cikin wannan tabbatarwar da ke kare maɓallin sirri da aka kwafa kafin juyawa.

Rubuta shawarar a wuri ɗaya: wace ajiya ce ke riƙe maɓallin, wane tsari zai iya amfani da shi, wa zai iya sake fitarwa da menene dawowa. Wannan sakin layi shi ne abin da masu binciken lissafi ke tambaya, kuma shi ne abin da ke tsira daga canjin ma'aikata.