Մեկ վկայական մեկ սարքի համար բանալին սարքին կապված չի դարձնում
Յուրաքանչյուր սարքի համար վկայականը վարչական ընտրություն է, ոչ թե սարքին կապում։ Կապումը որոշում է այն, թե որտեղ է գտնվում մասնավոր բանալին՝ պատճենվող ֆայլից մինչև TPM։
Դուք առանձին վկայական եք տալիս յուրաքանչյուր նոթբուքի համար, ուստի ենթադրում եք, որ VPN-ը կարող է տարբերել նրանց։ Չի կարող։ Հաճախորդի վկայականը ապացուցում է, որ ով միանում է, ունի համապատասխան մասնավոր բանալին, և պատճենված պրոֆիլը նույնպես ունի այն։
Սարքերի համար վկայականը դեռ լավ գաղափար է։ Այն պարզապես այլ աշխատանք է կատարում, քան մարդկանց մեծ մասն է սպասում։
Ինչ է իրականում ապացուցում հաճախորդի վկայականը
Ձեռքսեղմման ընթացքում հաճախորդը ստորագրում է իր վկայականին համապատասխան մասնավոր բանալիով, և սերվերը ստուգում է այդ ստորագրությունը վստահելի CA-ի դեմ։ Այդ փոխանակման մեջ ոչինչ չի նկարագրում մեքենան։ Վկայականն ու բանալին միասին ունեցող ցանկացած սարք ստեղծում է նույնական ստորագրություն, ուստի երկրորդ նոթբուք պատճենված պրոֆիլը ճիշտ նույն տեսքն ունի, ինչ բնօրինակը։ Վկայականը անվանում է ինքնություն, այլ ոչ թե սարքավորում։
Սարքի համար եզակիությունը դեռ արժե, քանի որ այն ճշգրիտ է դարձնում չեղարկումը։ Սա վարչական հատկություն է, ոչ թե տեխնիկական կողպեք։
Բանալու պահպանման երեք մակարդակ
Առաջին մակարդակը սկավառակի վրա գտնվող բանալու ֆայլն է։ Այն կրելի է ըստ նախագծի, և այնտեղ են ապրում OpenVPN-ի պրոֆիլների մեծ մասը։
Երկրորդ մակարդակը բանալի է, որը օպերացիոն համակարգը նշում է որպես չարտահանվող։ Windows-ը կարող է ստեղծել սարքի բանալի իր վկայականների պահոցում և մերժել սովորական արտահանումը, ինչը կանգնեցնում է պատահական պատճենումը։ Այն ապարատային աջակցություն չունի, և մեքենային բավարար հասանելիության դեպքում նման բանալիները կարելի է վերականգնել, ուստի այն մեծացնում է ջանքը՝ պատ կառուցելու փոխարեն։
Երրորդ մակարդակը բանալի է, որը ստեղծվում է անվտանգության ապարատի ներսում՝ TPM, խելացի քարտ, SIM կամ PIV նշան։ Այդ մոդուլները չունեն իրենց ստեղծած բանալին արտահանելու շղթա, և ստորագրումը տեղի է ունենում մոդուլի ներսում։ Բանալին երբեք չի դառնում ֆայլ, որը որևէ մեկը կարող է պատճենել։
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Այդ աղյուսակն ամբողջ փաստարկն է երեք տողով։
Ինչ կարող է անել easy-rsa-ն և ինչ՝ ոչ
Սարքի համար վկայականներ տալը պարզ է։ Ստեղծեք առանձին ընդհանուր անուն յուրաքանչյուր սարքի համար նույն CA-ի դեմ, օրինակ ./easyrsa build-client-full laptop-a nopass, և կրկնեք յուրաքանչյուր սարքի համար։ Գրանցեք, թե որ ընդհանուր անունն է պատկանում որ մարդուն և մեքենային։
Չեղարկումը նույնքան ուղիղ է՝ ./easyrsa revoke laptop-a, վերաստեղծեք CRL-ը ./easyrsa gen-crl-ով, և համոզվեք, որ սերվերն այն իրոք կարդում է crl-verify-ի միջոցով։
Ինչ CA-ն չի կարող անել, դա ստուգելն է, թե որտեղ է մասնավոր բանալին հետագայում։ Եթե բանալին ստեղծեք CA-ի հոսթի վրա և պատճենեք սարքին, ապա թողարկման պահին ստեղծել եք երկրորդ պատճեն։ Չարտահանվող բանալին պետք է ստեղծվի սարքի վրա կամ ներմուծվի ապարատ, որը չի բացթողնի այն։
Կառավարումներ, որոնք դիմանում են պատճենված պրոֆիլին
Ենթադրեք, որ պրոֆիլը կարող է պատճենվել, և նախագծեք դրան համապատասխան։ Կապեք հաշիվը երկրորդ գործոնի, որ միայն վկայականը բավարար չլինի։ Տվեք յուրաքանչյուր սարքի իր քաղաքականությունը, որ մեկ ինքնության հասանելիությունը մնա սահմանափակ։ Եվ հետևեք նույն ընդհանուր անվանը, որը միաժամանակ միանում է երկու հասցեից, քանի որ այդպես է երևում ընդհանուր պրոֆիլը միացումների մատյանում։
Արագ և փաստաթղթավորված չեղարկումը այն կառավարումն է, որը դեռ աշխատում է պատճենումից հետո։ Մնացածը կանխարգելում է։
Այն պնդումը, որի վրա սերվերը իսկապես կարող է հենվել
Եզակիությունը գալիս է CA-ից։ Սարքին կապումը գալիս է բանալու պահպանումից։ Միայն այն ապարատը, որը չի կարող արտահանել իր բանալին, սարքի համար մեկ վկայականը դարձնում է սերվերի կողմից պարտադրվող պնդում՝ բոլորի համաձայնած քաղաքականության փոխարեն։