WireGuard բանալիները ESP32-ի վրա՝ յուրաքանչյուր սարքի համար, թե՞ մեկ ներկառուցված։

Էսքիզը WireGuard-ի գաղտնի բանալին դնում է նշանների զանգվածի մեջ, և թունելը աշխատում է, դրա համար էլ հարցը նորից ու նորից է առաջանում։ Որոշումը, որն իրականում պետք է կայացնեք, «արդյո՞ք սա անվտանգ է» չէ, այլ «երեք պայմաններից ո՞րն է գործում այս տեղակայման համար»։ Դրանք են՝ ով կարող է ֆիզիկապես պահել սարքը, ինչ է տալիս ֆլեշի ընթերցումը ձեր մասում, և արդյո՞ք պարկը մեկ բանալի է կիսում, թե յուրաքանչյուրը իրենն է կրում։ Պատասխանեք դրանց, և նախագիծը կհետևի, որովհետև յուրաքանչյուր պայման փոխում է արտահոսած բանալու արժեքը, ոչ թե այն փաստը, որ այն կարող է արտահոսել։

Ինչ է թույլատրում բանալին

WireGuard-ը գործընկերներին նույնականացնում է հրապարակային բանալիով։ Սերվերը յուրաքանչյուր գործընկերոջ հրապարակային բանալին կապում է հասցեի և AllowedIPs ցանկի հետ, ուստի հենց գաղտնի բանալին է թույլ տալիս հաճախորդին տրաֆիկ ուղարկել այդ հասցեից։

Նույն գրառումը որոշում է, թե սարքը որ նպատակակետերին կարող է հասնել, ուստի արտահոսած բանալին բացահայտում է ինչպես թունելի հետևի ցանցը, այնպես էլ թունելի հասցեն։

Պայման առաջին՝ ով կարող է պահել սարքը

Եթե միավորը կանգնած է կողպված պահարանում, և ձեր թիմից դուրս ոչ ոք չի դիպչում դրան, ազդեցությունը հիմնականում որոնվածքի տարածման հարց է։ Եթե այն ուղարկվում է հաճախորդներին, կանգնած է մեքենայում կամ վերադառնում է երաշխիքով, ֆիզիկական տիրապետումը հավատարմագիրն է, իսկ երկուական ֆայլի գաղտնիությունը երկրորդական։ Սարքը ձեռքին պահողին պետք չէ կարդալ բանալին, որովհետև աշխատող որոնվածքը նրա համար կբացի թունելը։ Դրա համար սերվերի կողմի պատասխանը պետք է ներառի չեղարկում և սահմանափակ ժամկետ, ոչ միայն պաշտպանված պատկեր։

Որոշեք այս պայմանը մյուս երկուսից առաջ, որովհետև այն սահմանում է բյուջեն երկուսի համար։

Պայման երկրորդ՝ ինչ է տալիս ֆլեշի ընթերցումը

Ով կարող է կարդալ ֆլեշի պատկերը, վերականգնում է որպես լիտերալ պահված բանալին՝ լինի դա կարգաբերման միացումով, թարմացման ֆայլով, պահուստային պատճենով, թե վերադարձված միավորով։ Ֆլեշի գաղտնագրումը թանկացնում է ուղղակի արտահանումը, և ESP-IDF-ի փաստաթղթերը նկարագրում են, թե ինչ է ծածկում գործառույթը տվյալ մասի և կազմաձևման համար։ Այն բանալին չի դարձնում անհանելի բոլոր հարձակման մոդելներում, և ոչինչ չի անում ձեռքին գտնվող սարքի դեպքում։ Դիտարկեք այն որպես արժեքը փոխող մեկ շերտ, ոչ թե որպես պատասխան։

Կարդացեք հարթակի փաստաթղթերը ձեր ճշգրիտ չիպի և կազմաձևման համար, նախքան նախագծի վերանայմանը որևէ հատկություն պնդելը։

Պայման երրորդ՝ կրկնակի օգտագործում ողջ պարկում

Մեկ բանալի արտադրական շարքի համար նշանակում է, որ յուրաքանչյուր միավոր կիսում է մեկ ինքնություն։ Սերվերը չի կարող տարբերել դրանք մատյաններում, չի կարող չեղարկել մեկը՝ առանց բոլորը չեղարկելու, և չի կարող տարբերել կլոնը բնօրինակից։ Սարքին մեկ բանալին լուծում է բոլոր երեքը՝ գրանցման քայլի և սերիական համարի՝ հրապարակային բանալու հետ քարտեզագրման գնով։ Այդ քարտեզագրումը այն ակտիվն է, որը չեղարկումը դարձնում է մեկ տողի փոփոխություն՝ ողջ պարկի վերաֆլեշի փոխարեն։

Եթե պարկը հինգ միավոր է սեղանին, բանալու կիսումը կարող է ողջամիտ փոխանակություն լինել։ Եթե դաշտում հինգ հարյուր է, դա ամենևին փոխանակություն չէ։

Գրանցման ձևը, որ սարքին մեկ բանալին դարձնում է գործնական

Առաջին բեռնման ժամանակ սարքի վրա գեներացրեք բանալիների զույգը, գաղտնի կեսը պահեք պաշտպանված ոչ ցնդող հիշողության մեջ, և միայն հրապարակային բանալին ուղարկեք գրանցման ծառայությանը, որը հասցե է նշանակում և գրում գործընկերոջ գրառումը։ Նույնականացրեք գրանցման պատասխանը, հակառակ դեպքում տեղական ցանցի հարձակվողը կարող է գրանցել իր բանալին ձեր հաշվին։ Երբեք մի տպեք գաղտնի բանալին սերիական կոնսոլին տեղակայման ընթացքում։ Գրանցեք սարքի սերիական համարը հրապարակային բանալու կողքին, որպեսզի կորած միավորը համապատասխանի ճիշտ մեկ գործընկերոջ գրառմանը։

Սա փոքր ծառայություն է, և հենց այն տարբերությունն է աուդիտի ենթակա պարկի և միայն վերաֆլեշվող պարկի միջև։

Ժամանակը, վերջնակետերը և որոշումը

Օրինակը համաժամեցնում է ժամանակը թունելը սկսելուց առաջ, և դա կարևոր է TLS-ից այն կողմ՝ WireGuard-ի ձեռքսեղմումները կրում են ժամանակադրոշմ՝ կրկնարկումից պաշտպանվելու համար, ուստի սխալ ժամացույցով բեռնվող սարքի ձեռքսեղմումները կարող են մերժվել։ Վերջնակետը հոսթի անուն է, ինչը DNS-ը դնում է վստահության ուղու վրա, թեև սերվերի հրապարակային բանալին դեռ նույնականացնում է գործընկերոջը։ Սխալ հասցեն վատնում է փորձերը և բացահայտում, թե երբ է սարքը առցանց։ Կարգավորեք երկուսն էլ, նախքան բանալու մասին վիճելը։

Ապա որոշեք՝ ընդհանուր բանալին միայն այնքան ժամանակ, քանի դեռ տիրապետումը վերահսկվում է և պարկը փոքր է, սարքին մեկ բանալի՝ հենց որ այդ երկուսից մեկն այլևս ճիշտ չէ։