Miért kell külön tulajdonos a kiszolgálókulcsoknak és a felhasználói hitelesítő adatoknak

A kulcs, amely bizonyítja, hogy az átjáró önmaga, és a hitelesítő adat, amely szerint egy személy csatlakozhat, mindkettő titok, és itt véget ér a hasonlóság. Az egyik egy szolgáltatást azonosít minden kliens előtt; a másik egy felhasználót azonosít az adott szolgáltatás előtt. Keverésük egy lépést spórol a telepítéskor, és egy délutánba kerül egy incidens alatt, mert a helyreállítás nem ugyanaz a művelet. A szétválasztás unalmas beállítani, és emlékezetes kihagyni.

Két titok, két különböző tulajdonos

Az átjáró olyan privát kulcsot vagy tanúsítványt tart, amelynek egyetlen feladata, hogy a kézfogás során bizonyítsa az identitását. A klienseknek a megfelelő nyilvános anyagra van szükségük az ellenőrzéshez, a privát felére soha. Ez az aszimmetria teszi lehetővé a kiszolgáló hitelesítését anélkül, hogy minden felhasználó megkapná a kiszolgáló megszemélyesítésének képességét.

A felhasználói anyag ellenkező irányba megy. Az ügyfél privát kulcsa, az ügyféltanúsítvány vagy a jelszó bizonyítja, hogy pontosan ez a személy vagy eszköz kapott hozzáférést. Elvárás, hogy terjesszék, eszközök között másolják, és végül visszavonják.

A WireGuard nyilvánvalóvá teszi a szétválasztást, mert minden résztvevőnek kulcspárja van: a kiszolgáló privát kulcsa a kiszolgálón marad, és a felhasználónak adott konfigurációs fájl tartalmazza az ő saját privát kulcsát plusz a kiszolgáló nyilvános kulcsát. Az a profil, amely tartalmazza a kiszolgáló privát kulcsát, nem rövidítés, hanem egy kompromittálódás, amely fájlmegosztásra vár.

Három kérdés, amely eldönti a szétválasztást

Kérdezze meg, kinek kell tudnia olvasni a titkot, mire adna lehetőséget egy támadónak a kiszivárgás, és a javítás egyetlen visszavonás vagy a szolgáltatás újjáépítése-e.

Ha egy felhasználó olvashatja, és ez bizonyítja az átjáró identitását, a második kérdésre a válasz az, hogy a támadó minden kliens előtt megszemélyesítheti a kiszolgálót — a legrosszabb kimenet, mert a klienseket arra tervezték, hogy megbízzanak ebben az identitásban. Ha csak egy felhasználót bizonyít, a kiszivárgás az adott felhasználó hozzáférését adja egy partnerhez, és a visszavonás rutinművelet. Ha tanúsító hatóság kulcsa, a kiszivárgás mindkettőnél rosszabb, mert a támadó olyan identitásokat hozhat létre, amelyekben minden végpont megbízik.

Ez a három válasz adja a tárolási szabályt: a CA kulcs offline vagy széfben él, az átjáró kulcsa az átjárón él, a felhasználói kulcsok pedig a felhasználóknál. Minden olyan elrendezés, amely kényelemből mindhármat egy könyvtárba teszi, döntést változtatott balesetté.

Mire van valójában szüksége egy kliensnek

Egy kliensnek szüksége van a nyilvános tanúsítványra vagy a partner nyilvános kulcsára, a CA-anyagra vagy az ujjlenyomatra, amelyben meg kell bíznia, a saját privát kulcsára és a végpont adataira. Ez a lista semmit sem tartalmaz, ami az átjáró privát identitásához tartozik.

A dokumentáció az, ahol ez kiszivárog. Az az útmutató, amely azt mondja, másolja le a kiszolgáló könyvtárát, és törölje, amire nincs szüksége, már a rossz modellt tanította meg, mert a törlési lépés után maradó fájlt ritkán ellenőrzi bárki.

Vonjon vissza egy felhasználót az átjáró érintése nélkül

Mivel a felhasználói identitásokat külön adják ki, külön is visszavonhatók. A tanúsítványalapú telepítés visszavonja az ügyféltanúsítványt, és közzéteszi a frissített visszavonási listát; a WireGuard-telepítés eltávolítja a partner bejegyzését a kiszolgáló konfigurációjából. Egyik művelet sem változtatja meg az átjáró saját kulcsát.

Tartsa meg a kiadási nyilvántartást, különben nem tudja, melyik identitást kell visszavonni. Egy táblázat elegendő, feltéve, hogy megnevezi a személyt, az eszközt, a sorozatszámot vagy a nyilvános kulcsot és a dátumot, és feltéve, hogy valaki gondozza, miután az azt építő személy távozik.

Az alábbi parancsok megvizsgálnak egy ügyféltanúsítványt, majd visszavonják egy OpenSSL-stílusú hatóságon keresztül, ami az a folyamat, amelyet az easy-rsa becsomagol:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Tegye közzé az új listát ott, ahol a kliensek ellenőrzik, különben a visszavonás egy megjegyzés egy fájlban, amely semmit sem változtat. Ha az átjárója visszavonási lista megkérdezése nélkül fogad el ügyféltanúsítványokat, mondja ki egyértelműen, ahelyett hogy azt sugallná, hogy a visszavonás működik.

Tartsa a biztonsági mentéseket olyan külön, mint a titkokat

Az újjáépítési archívum jogosan tartalmazza az átjáró kulcsát és a CA-anyagot, mert ezek nélkül a helyreállítás nem tudja újra létrehozni a szolgáltatást. Az ügyféltelepítő csomag nem tartalmazhatja, és a kettőt nem szabad együtt tárolni. Címkézze fel minden archívumot aszerint, ki tarthatja, nem a készítés dátuma szerint. Ezt a címkét olvassa egy fáradt rendszergazda hajnali kettőkor.

Ez a megkülönböztetés azt is meghatározza, ki szerezheti be mindegyiket. Az átjáró felügyelete, a felhasználói identitások kiadása és a biztonsági mentések olvasása három különböző jogosultság, és akinek az egyikre szüksége van, annak nem feltétlenül kell a többi. Írja le ezeket az engedélyeket, majd ellenőrizze őket ahhoz képest, amit a tárolója valóban enged, mert a könyvtáröröklés csendben többet ad, mint amit a szabályzat szán.