რატომ სჭირდებათ სერვერის გასაღებებსა და მომხმარებლის სერტიფიკატებს ცალკე მფლობელები

გასაღები, რომელიც ამტკიცებს, რომ თქვენი შესასვლელი თავად არის, და სერტიფიკატი, რომელიც ამბობს, რომ ადამიანს შეიძლება შემოერთება, ორივე საიდუმლოა და მსგავსება სწორედ აქ მთავრდება. ერთი სერვისს უცხადებს ყველა კლიენტს, მეორე ერთ მომხმარებელს უცხადებს ამ სერვისს. მათი შერევა აზოგავს ერთ ნაბიჯს დაყენებისას და ინციდენტის დროს ნახევარ დღეს ხარჯავს, რადგან თითოეულის აღდგენა ერთი და იგივე ოპერაცია არ არის. გაყოფა მოსაწყენია დასაყენებლად და დასამახსოვრებელი გამოტოვებისას.

ორი საიდუმლო, ორი სხვადასხვა მფლობელი

შესასვლელი ინახავს პირად გასაღებს ან სერტიფიკატს, რომლის ერთადერთი ამოცანა ხელის ჩამორთმევის დროს საკუთარი იდენტობის დამტკიცებაა. კლიენტებს სჭირდებათ შესაბამისი საჯარო მასალა მისი გადასამოწმებლად და პირადი ნახევარი მათ არასოდეს სჭირდებათ. სწორედ ეს ასიმეტრია ხდის სერვერის ავთენტიფიკაციას შესაძლებელს იმის გარეშე, რომ ყველა მომხმარებელს სერვერის განსახიერების უნარი მიეცეს.

მომხმარებლის მასალა საპირისპირო მიმართულებით მიდის. კლიენტის პირადი გასაღები, კლიენტის სერტიფიკატი ან პაროლი აჩვენებს, რომ სწორედ ამ ადამიანს ან მოწყობილობას მიეცა წვდომა. მოსალოდნელია, რომ ის გავრცელდება, მოწყობილობებს შორის დაკოპირდება და საბოლოოდ გაუქმდება.

WireGuard აშკარას ხდის გაყოფას, რადგან ყველა მონაწილეს აქვს გასაღებების წყვილი: სერვერის პირადი გასაღები სერვერზე რჩება, ხოლო მომხმარებლისთვის მიცემული კონფიგურაციის ფაილი შეიცავს მის საკუთარ პირად გასაღებს და სერვერის საჯარო გასაღებს. პროფილი, რომელიც სერვერის პირად გასაღებს შეიცავს, მოკლე გზა არ არის, ის ფაილის გაზიარების მოლოდინში მყოფი კომპრომიტაციაა.

სამი კითხვა, რომლებიც გაყოფას განსაზღვრავს

იკითხეთ, ვის უნდა შეეძლოს საიდუმლოს წაკითხვა, რისი გაკეთება შეეძლებოდა თავდამსხმელს გამჟღავნებისას და არის თუ არა გამოსწორება ერთი გაუქმება თუ სერვისის ხელახლა აშენება.

თუ მომხმარებელს შეუძლია მისი წაკითხვა და ის შესასვლელის იდენტობას ამტკიცებს, მეორე კითხვის პასუხია, რომ თავდამსხმელს შეუძლია თქვენი სერვერის განსახიერება ყველა კლიენტის წინაშე — ყველაზე ცუდი შედეგი, რადგან კლიენტები შექმნილი არიან ამ იდენტობის ნდობისთვის. თუ ის მხოლოდ ერთ მომხმარებელს ამტკიცებს, გამჟღავნება ამ მომხმარებელს ერთ პარტნიორზე წვდომას აძლევს და გაუქმება ჩვეულებრივი ოპერაციაა. თუ ეს სერტიფიკატების ორგანოს გასაღებია, გამჟღავნება ორივეზე უარესია, რადგან თავდამსხმელს შეუძლია შექმნას იდენტობები, რომლებსაც ყველა ბოლო წერტილი ენდობა.

ეს სამი პასუხი იძლევა შენახვის წესს: CA გასაღები ცხოვრობს ოფლაინ ან სეიფში, შესასვლელის გასაღები შესასვლელზე, ხოლო მომხმარებლების გასაღებები მომხმარებლებთან. ნებისმიერი განლაგება, რომელიც სამივეს მოხერხებულობისთვის ერთ საქაღალდეში ათავსებს, გადაწყვეტილება უბედურ შემთხვევად აქცია.

რა სჭირდება კლიენტს სინამდვილეში

კლიენტს სჭირდება საჯარო სერტიფიკატი ან პარტნიორის საჯარო გასაღები, CA მასალა ან ანაბეჭდი, რომელიც უნდა ენდოს, საკუთარი პირადი გასაღები და ბოლო წერტილის დეტალები. ამ სიაში არაფერია, რაც შესასვლელის პირად იდენტობას ეკუთვნის.

დოკუმენტაცია არის ის ადგილი, სადაც ეს ჟონავს. გზამკვლევი, რომელიც ამბობს, დააკოპირეთ სერვერის საქაღალდე და წაშალეთ ზედმეტი, უკვე ასწავლა არასწორი მოდელი, რადგან წაშლის ნაბიჯის შემდეგ დარჩენილ ფაილს იშვიათად ამოწმებს ვინმე.

გააუქმეთ ერთი მომხმარებელი შესასვლელზე ხელის შეხების გარეშე

ვინაიდან მომხმარებლის იდენტობები ცალკე გაიცემა, მათი ცალკე უკან გაწვევაც შეიძლება. სერტიფიკატებზე დაფუძნებული განლაგება აუქმებს კლიენტის სერტიფიკატს და აქვეყნებს განახლებულ გაუქმების სიას; WireGuard-ის განლაგება შლის პარტნიორის ჩანაწერს სერვერის კონფიგურაციიდან. ამ ოპერაციებიდან არცერთი არ ცვლის შესასვლელის საკუთარ გასაღებს.

შეინახეთ გაცემის ჩანაწერი, თორემ ვერ გაიგებთ, რომელი იდენტობა უნდა უკან გაიწვიოთ. ცხრილი საკმარისია, თუ მასში მითითებულია ადამიანი, მოწყობილობა, სერიული ნომერი ან საჯარო გასაღები და თარიღი, და თუ მას მისი შემქმნელი ადამიანის წასვლის შემდეგ ვინმე უვლის.

ქვემოთ მოცემული ბრძანებები ამოწმებენ კლიენტის სერტიფიკატს და შემდეგ OpenSSL-ის სტილის ორგანოს მეშვეობით აუქმებენ მას, რაც არის ის ნაკადი, რომელსაც easy-rsa ახვევს:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

გამოაქვეყნეთ ახალი სია იქ, სადაც კლიენტები ამოწმებენ მას, თორემ გაუქმება ჩანაწერია ფაილში, რომელიც არაფერს ცვლის. თუ თქვენი შესასვლელი კლიენტის სერტიფიკატებს გაუქმების სიის გარეშე იღებს, ეს ცხადად თქვით და ნუ მიანიშნებთ, რომ გაუქმება მუშაობს.

შეინახეთ სარეზერვო ასლები საიდუმლოებებივით ცალკე

ხელახლა აშენების არქივი ლეგიტიმურად შეიცავს შესასვლელის გასაღებს და CA მასალას, რადგან მათ გარეშე აღდგენა ვერ შეძლებს სერვისის ხელახლა შექმნას. კლიენტის დაყენების პაკეტი არ უნდა შეიცავდეს, და ორივე ერთად არ უნდა ინახებოდეს. მონიშნეთ თითოეული არქივი იმის მიხედვით, ვის შეუძლია მისი შენახვა, და არა შექმნის თარიღით. სწორედ ამ იარლიყს კითხულობს დაღლილი ადმინისტრატორი ღამის ორ საათზე.

ეს განსხვავება ასევე განსაზღვრავს, ვის შეუძლია თითოეულის მიღება. შესასვლელის მართვა, მომხმარებლის იდენტობების გაცემა და სარეზერვო ასლების კითხვა სამი სხვადასხვა უფლებაა და ვისაც ერთი სჭირდება, ავტომატურად არ სჭირდება დანარჩენები. ჩამოწერეთ ეს ნებართვები და შემდეგ შეამოწმეთ იმასთან, რასაც თქვენი საცავი რეალურად უშვებს, რადგან საქაღალდეების მემკვიდრეობა ჩუმად უფრო მეტს აძლევს, ვიდრე პოლიტიკა ფიქრობს.