თითო მოწყობილობაზე ერთი სერტიფიკატი გასაღებს მოწყობილობას არ აბამს
მოწყობილობაზე სერტიფიკატი ადმინისტრაციული არჩევანია და არა მოწყობილობაზე მიბმა. მიბმას განსაზღვრავს ის, სად არის კერძო გასაღები, კოპირებადი ფაილიდან TPM-მდე.
თითოეული ლეპტოპისთვის ცალკე სერტიფიკატს გასცემთ, ამიტომ ფიქრობთ, რომ VPN მათ ერთმანეთისგან გარჩევს. ვერ განასხვავებს. კლიენტის სერტიფიკატი ამტკიცებს, რომ ვინც უერთდება, შესაბამის კერძო გასაღებს ფლობს, და კოპირებული პროფილიც ფლობს მას.
მოწყობილობაზე სერტიფიკატი მაინც კარგი აზრია. უბრალოდ სხვა სამუშაოს ასრულებს, ვიდრე ადამიანების უმეტესობა მოელის.
რას ამტკიცებს რეალურად კლიენტის სერტიფიკატი
ხელის ჩამორთმევის დროს კლიენტი ხელს აწერს თავისი სერტიფიკატის შესაბამისი კერძო გასაღებით, ხოლო სერვერი ამ ხელმოწერას ამოწმებს იმ CA-ს წინააღმდეგ, რომელსაც ენდობა. ამ გაცვლაში არაფერი აღწერს მანქანას. ნებისმიერი მოწყობილობა, რომელსაც სერტიფიკატიც და გასაღებიც აქვს, იდენტურ ხელმოწერას ქმნის, ამიტომ მეორე ლეპტოპზე კოპირებული პროფილი ზუსტად ორიგინალს ჰგავს. სერტიფიკატი იდენტობას ასახელებს; აპარატურას არ ასახელებს.
მოწყობილობაზე უნიკალურობა მაინც ღირს, რადგან გაუქმებას ზუსტს ხდის. ეს ადმინისტრაციული თვისებაა და არა ტექნიკური საკეტი.
გასაღების შენახვის სამი დონე
პირველი დონე დისკზე არსებული გასაღების ფაილია. ის დიზაინით გადასატანია და სწორედ იქ ცხოვრობს OpenVPN-ის პროფილების უმეტესობა.
მეორე დონე გასაღებია, რომელსაც ოპერაციული სისტემა არაექსპორტირებადად მონიშნავს. Windows-ს შეუძლია მოწყობილობის გასაღები შექმნას თავის სერტიფიკატების საცავში და ჩვეულებრივ ექსპორტზე უარი თქვას, რაც შემთხვევით კოპირებას აჩერებს. ის აპარატურულად არ არის მხარდაჭერილი და მანქანაზე საკმარისი წვდომისას ასეთი გასაღებების აღდგენა შესაძლებელია, ამიტომ ის ძალისხმევას ზრდის და არა კედელს აშენებს.
მესამე დონე უსაფრთხოების აპარატურის შიგნით შექმნილი გასაღებია: TPM, ჭკვიანი ბარათი, SIM ან PIV ტოკენი. ამ მოდულებს არ აქვთ სქემა, რომ გაიტანონ საკუთარი შექმნილი გასაღები, და ხელმოწერა მოდულის შიგნით ხდება. გასაღები არასოდეს ხდება ფაილი, რომლის კოპირებაც ვინმეს შეუძლია.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
ეს ცხრილი მთელი არგუმენტია სამ სტრიქონში.
რა შეუძლია easy-rsa-ს და რა არა
მოწყობილობაზე სერტიფიკატების გაცემა მარტივია. შექმენით ცალკე საერთო სახელი თითოეული მოწყობილობისთვის იმავე CA-ს წინააღმდეგ, მაგალითად ./easyrsa build-client-full laptop-a nopass, და გაიმეორეთ თითოეული მოწყობილობისთვის. ჩაწერეთ, რომელი საერთო სახელი ეკუთვნის რომელ ადამიანს და მანქანას.
გაუქმება თანაბრად პირდაპირია: ./easyrsa revoke laptop-a, ხელახლა შექმენით CRL ./easyrsa gen-crl-ით და დარწმუნდით, რომ სერვერი მას ნამდვილად კითხულობს crl-verify-ის მეშვეობით.
რაც CA-ს არ შეუძლია, არის იმის შემოწმება, სად არის კერძო გასაღები შემდეგ. თუ გასაღებს CA-ს ჰოსტზე შექმნით და მოწყობილობაზე დააკოპირებთ, გაცემისას მეორე ასლი შექმენით. არაექსპორტირებადი გასაღები მოწყობილობაზე უნდა შეიქმნას ან იმ აპარატურაში უნდა იმპორტდეს, რომელიც მას არ გაათავისუფლებს.
კონტროლი, რომელიც კოპირებულ პროფილს უძლებს
ჩათვალეთ, რომ პროფილის კოპირება შესაძლებელია, და ისე დააპროექტეთ. დაუკავშირეთ ანგარიში მეორე ფაქტორს, რომ მხოლოდ სერტიფიკატი საკმარისი არ იყოს. მიეცით თითოეულ მოწყობილობას საკუთარი პოლიტიკა, რომ ერთი იდენტობის მიღწევადობა შეზღუდული დარჩეს. და დააკვირდით იმავე საერთო სახელს, რომელიც ერთდროულად ორი მისამართიდან უერთდება, რადგან ასე გამოიყურება საერთო პროფილი კავშირების ჟურნალში.
სწრაფი და დოკუმენტირებული გაუქმება არის ის კონტროლი, რომელიც კოპირების შემდეგაც მუშაობს. დანარჩენი ყველაფერი პრევენციაა.
მტკიცება, რომელსაც სერვერი ნამდვილად შეიძლება დაეყრდნოს
უნიკალურობა CA-დან მოდის. მოწყობილობაზე მიბმა გასაღების შენახვიდან მოდის. მხოლოდ ის აპარატურა, რომელსაც საკუთარი გასაღების ექსპორტი არ შეუძლია, აქცევს მოწყობილობაზე ერთ სერტიფიკატს სერვერის მიერ აღსრულებულ მტკიცებად და არა პოლიტიკად, რომლის დაცვასაც ყველა თანხმდება.