Un’identità VPN per dispositivo: perché la condivisione rompe la rimozione

Un profilo copiato su un portatile, un telefono e un tablet funziona bene finché uno di essi non va perso. A quel punto la scelta è interrompere ogni dispositivo che condivide l’identità o lasciare l’accesso indesiderato al suo posto. Entrambe le opzioni sono peggiori dei dieci minuti che sarebbero serviti per emettere tre identità. Il meccanismo non è complicato: un peer VPN è un record di autorizzazione, e un record per dispositivo è ciò che trasforma la rimozione in un’unica azione precisa.

Che cosa condivide un profilo condiviso

Copiare una chiave privata copia tutta l’autorizzazione: la voce del peer, l’indirizzo del tunnel e le rotte e le policy associate. Il server non può distinguere le copie, perché il protocollo identifica un peer tramite la chiave e non tramite il dispositivo. Ogni riga di log, ogni limite e ogni decisione di revoca valgono per il gruppo. Un profilo condiviso non è quindi una comodità con un piccolo costo di sicurezza, è un singolo punto di guasto con diversi dispositivi collegati.

La stessa logica vale per un account condiviso che contiene un solo certificato.

Esegui il provisioning con il modello di identità che hai

Un deployment WireGuard può autorizzare chiavi peer distinte, una per dispositivo. Un deployment basato su certificati può emettere certificati client individuali dalla propria autorità. Un sistema di account può combinare un utente con record di dispositivo separati, a seconda del prodotto. Usa il processo di registrazione supportato dall’operatore, perché generare un nuovo segreto locale non fa nulla finché il peer o il gateway non riconoscono l’autorizzazione corrispondente.

La via supportata è anche quella che sopravvive al prossimo aggiornamento.

Inventario senza segreti

Tieni l’etichetta del dispositivo, l’identificatore pubblico e il proprietario in un inventario in cui puoi cercare. Non copiare chiavi private in quell’inventario, perché trasforma un elenco di asset in un archivio di credenziali.

Una riga che dice «Portatile di Ana, chiave pubblica del peer, emessa il 12 marzo» basta per agire.

La rimozione è una procedura, non un pulsante

Annota come disabilitare esattamente un dispositivo e se una sessione attiva richiede un passo di terminazione separato. Controlla la persistenza, così un riavvio o un vecchio backup di configurazione non reintroducono l’autorizzazione. Conferma che la rimozione abbia avuto effetto provando a connetterti dal dispositivo rimosso. Poi controlla se qualcos’altro faceva riferimento a quell’identità, come una sonda di monitoraggio o una rotta condivisa.

Il passo che le persone saltano è l’ultimo, ed è l’unico che dimostra il cambiamento.

Ordine di sostituzione

Emetti prima il nuovo dispositivo, verificalo rispetto alla risorsa che gli serve, poi dismetti il vecchio. L’eccezione è l’esposizione: se il vecchio dispositivo può essere in mani altrui, rimuovilo prima e accetta l’interruzione.

In ogni caso, esamina le esportazioni salvate sull’hardware dismesso prima che lasci l’edificio.

Che cosa ti danno le identità separate

Tre cose, e ognuna compare durante un incidente:

• Revocare un dispositivo senza toccare gli altri.
• Attribuire una connessione a un dispositivo, non a un gruppo.
• Spiegare un guasto senza raccogliere l’attività di tutti.

Le indicazioni dell’operatore fanno autorità sul suo modello di provisioning, che si tratti di chiavi per peer come nella guida rapida di WireGuard o di certificati individuali di un’autorità locale. Record distinti sono la differenza tra una flotta su cui puoi ragionare e una flotta che puoi solo ripristinare.