Hvers vegna þarf aðskilda eigendur fyrir þjónlykla og auðkenni notenda

Lykillinn sem sannar að gáttin þín er hún sjálf og auðkennið sem segir að einstaklingur megi tengjast eru bæði leyndarmál, og þar endar líkingin. Annað auðkennir þjónustu gagnvart hverjum viðskiptavini; hitt auðkennir einn notanda gagnvart þeirri þjónustu. Að blanda þeim sparar eitt skref við uppsetningu og kostar síðdegi í atviki, því endurheimt hvorugra er sama aðgerðin. Aðskilnaðurinn er leiðinlegur að setja upp og eftirminnilegur að sleppa.

Tvö leyndarmál, tveir mismunandi eigendur

Gáttin geymir einkalykil eða vottorð sem eina verkefnið er að sanna auðkenni sitt í handtaki. Viðskiptavinir þurfa samsvarandi opinbert efni til að sannprófa það, og þeir þurfa aldrei einkahlutann. Þessi ósamhverfa gerir staðfestingu þjóns mögulega án þess að gefa hverjum notanda getu til að þykjast vera þjónninn.

Efni notandans fer í hina áttina. Einkalykill viðskiptavinar, viðskiptavottorð eða lykilorð sýna að þessi tiltekni einstaklingur eða tæki fékk aðgang. Búist er við að það sé dreift, afritað milli tækja og að lokum afturkallað.

WireGuard gerir aðskilnaðinn augljósan því hver þátttakandi hefur lykilpar: einkalykill þjónsins er áfram á þjóninum, og stillingarskrá sem þú gefur notanda inniheldur hans eigin einkalykil auk opinbers lykils þjónsins. Prófíll sem inniheldur einkalykil þjónsins er ekki flýtileið, heldur málamiðlun sem bíður skráardeilingar.

Þrjár spurningar sem ákveða aðskilnaðinn

Spyrðu hver verði að geta lesið leyndarmálið, hvað afhjúpun myndi leyfa árásarmanni að gera, og hvort lagfæringin sé ein afturköllun eða endurbygging þjónustunnar.

Ef notandi getur lesið það og það sannar auðkenni gáttarinnar, þá er svarið við annarri spurningunni að árásarmaðurinn getur þykst vera þjónninn þinn gagnvart hverjum viðskiptavini — versta niðurstaðan, því viðskiptavinir eru hannaðir til að treysta því auðkenni. Ef það sannar aðeins einn notanda veitir afhjúpunin þeim notanda aðgang að einum jafningja, og afturköllun er venjuleg aðgerð. Ef um er að ræða lykil vottunaraðila er afhjúpunin verri en hvort tveggja, því árásarmaðurinn getur búið til auðkenni sem hvert endapunkt treystir.

Þessi þrjú svör gefa geymsluregluna: CA-lykillinn lifir utan nets eða í peningaskáp, lykill gáttarinnar lifir á gáttinni, og notendalyklar lifa hjá notendum. Hvert fyrirkomulag sem setur öll þrjú í eina möppu af þægindum hefur breytt ákvörðun í slys.

Hvað viðskiptavinur þarf í raun

Viðskiptavinur þarf opinbera vottorðið eða opinberan jafningjalykil, CA-efnið eða fingrafarið sem hann á að treysta, eigin einkalykil og upplýsingar um endapunktinn. Sá listi inniheldur ekkert sem tilheyrir einkaaðkenni gáttarinnar.

Skjölunin er þar sem þetta lekur. Leiðarvísir sem segir afritaðu möppu þjónsins og eyddu því sem þú þarft ekki hefur þegar kennt ranga fyrirmynd, því skráin sem verður eftir eftir eyðsluskrefið er sjaldan skoðuð af neinum.

Afturkallaðu einn notanda án þess að snerta gáttina

Þar sem auðkenni notenda eru gefin út sérstaklega er hægt að draga þau til baka sérstaklega. Uppsetning byggð á vottorðum afturkallar viðskiptavottorðið og birtir uppfærðan afturköllunarlista; WireGuard-uppsetning fjarlægir jafningjafærsluna úr stillingu þjónsins. Hvorug þessara aðgerða breytir eigin lykli gáttarinnar.

Geymdu útgáfuskrána, annars veistu ekki hvaða auðkenni á að draga til baka. Töflureiknir er nóg, að því tilskildu að hann nefni einstaklinginn, tækið, raðnúmerið eða opinbera lykilinn og dagsetninguna, og að því tilskildu að einhver annist hana eftir að sá sem byggði hana hættir.

Skipanirnar hér að neðan skoða viðskiptavottorð og afturkalla það síðan gegnum yfirvald í OpenSSL-stíl, sem er flæðið sem easy-rsa vefur utan um:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Birttu nýja listann þar sem viðskiptavinir athuga hann, annars er afturköllunin athugasemd í skrá sem breytir engu. Ef gáttin þín tekur við viðskiptavottorðum án þess að ráðfæra sig við afturköllunarlista, segðu það beint í stað þess að gefa í skyn að afturköllun virki.

Haltu öryggisafritum jafn aðskildum og leyndarmálunum

Endurbyggingarskjalasafn inniheldur löglega lykil gáttarinnar og CA-efnið, því án þeirra getur endurheimt ekki endurskapað þjónustuna. Uppsetningarpakki viðskiptavinar má ekki, og ekki má geyma þau tvö saman. Merktu hvert skjalasafn eftir því hver má geyma það, ekki eftir dagsetningunni þegar það var búið til. Það merki er það sem þreyttur stjórnandi les klukkan tvö að nóttu.

Sá greinarmunur ákvarðar líka hver má sækja hvort þeirra. Að stjórna gáttinni, gefa út auðkenni notenda og lesa öryggisafrit eru þrjú mismunandi völd, og sá sem þarf eitt þarf ekki sjálfkrafa hin. Skrifaðu þessar heimildir niður og athugaðu þær síðan gagnvart því sem geymslan þín leyfir í raun, því möppuarfleifð veitir þegjandi meira en stefnan ætlar.