זהות VPN אחת לכל מכשיר: למה שיתוף שובר את ההסרה

פרופיל אחד שהועתק למחשב נייד, לטלפון ולטאבלט עובד היטב עד שאחד מהם הולך לאיבוד. באותו רגע הבחירה היא לקטוע כל מכשיר שחולק את הזהות או להשאיר את הגישה הלא רצויה במקומה. שתי האפשרויות גרועות מהעשר דקות שהיה לוקח להנפיק שלוש זהויות. המנגנון אינו מסובך: עמית VPN הוא רשומת הרשאה, ורשומה אחת לכל מכשיר היא מה שהופך את ההסרה לפעולה מדויקת אחת.

מה פרופיל משותף משתף

העתקת מפתח פרטי מעתיקה את כל ההרשאה: רשומת העמית, כתובת המנהרה וכל המסלולים והמדיניות שמחוברים אליה. השרת אינו יכול להבחין בין העותקים, משום שהפרוטוקול מזהה עמית לפי מפתח ולא לפי מכשיר. כל שורת יומן, כל מגבלה וכל החלטת ביטול חלות על הקבוצה. לכן פרופיל משותף אינו נוחות בעלות אבטחה קטנה, אלא נקודת כשל אחת שאליה מחוברים כמה מכשירים.

אותו היגיון חל על חשבון משותף שמחזיק תעודה אחת.

הקצאה לפי מודל הזהות שיש לך

פריסת WireGuard יכולה להרשות מפתחות עמית נפרדים, אחד לכל מכשיר. פריסה מבוססת תעודות יכולה להנפיק תעודות לקוח בודדות מהרשות שלה. מערכת חשבונות יכולה לשלב משתמש עם רשומות מכשיר נפרדות, בהתאם למוצר. השתמש בתהליך ההרשמה הנתמך של המפעיל, משום שיצירת סוד מקומי חדש אינה עושה דבר עד שהעמית או השער מכירים בהרשאה המתאימה.

המסלול הנתמך הוא גם זה ששורד את השדרוג הבא.

מלאי בלי סודות

שמור את תווית המכשיר, המזהה הציבורי והבעלים במלאי שאפשר לחפש בו. אל תעתיק מפתחות פרטיים למלאי הזה, משום שזה הופך רשימת נכסים למחסן אישורים.

שורה שאומרת „המחשב הנייד של אנה, מפתח עמית ציבורי, הונפק ב-12 במרץ“ מספיקה כדי לפעול.

הסרה היא נוהל, לא כפתור

תעד כיצד להשבית בדיוק מכשיר אחד והאם הפעלה פעילה צריכה שלב סיום נפרד. בדוק את העמידות, כדי שהפעלה מחדש או גיבוי תצורה ישן לא יחזירו את ההרשאה. אשר שההסרה השפיעה בכך שתנסה להתחבר מהמכשיר שהוסר. לאחר מכן בדוק אם משהו אחר התייחס לזהות הזו, כמו בדיקת ניטור או מסלול משותף.

השלב שאנשים מדלגים עליו הוא האחרון, והוא היחיד שמוכיח את השינוי.

סדר החלפה

הנפק תחילה את המכשיר החדש, אמת אותו מול המשאב שהוא צריך, ואז הוצא את הישן משירות. החריג הוא חשיפה: אם המכשיר הישן עלול להיות בידיים של מישהו אחר, הסר אותו קודם וקבל את הקטיעה.

בכל מקרה, סקור ייצוא שמור בחומרה שהוצאה משירות לפני שהיא עוזבת את הבניין.

מה זהויות נפרדות נותנות לך

שלושה דברים, וכל אחד מהם מתגלה בזמן תקרית:

• לבטל מכשיר אחד בלי לגעת באחרים.
• לייחס חיבור למכשיר, לא לקבוצה.
• להסביר כשל בלי לאסוף את הפעילות של כולם.

ההנחיות של המפעיל הן הסמכות לגבי מודל ההקצאה שלו עצמו, בין אם מדובר במפתחות לכל עמית, כמו בדוגמה של התחלה המהירה של WireGuard, ובין אם בתעודות בודדות מרשות מקומית. רשומות נפרדות הן ההבדל בין צי שאפשר לחשוב עליו לצי שאפשר רק לאפס.