ಪ್ರತಿ ಸಾಧನಕ್ಕೆ ಒಂದು ಪ್ರಮಾಣಪತ್ರವು ಕೀಲಿಯನ್ನು ಸಾಧನಕ್ಕೆ ಬಂಧಿಸುವುದಿಲ್ಲ
ಪ್ರತಿ ಸಾಧನಕ್ಕೆ ಪ್ರಮಾಣಪತ್ರವು ಆಡಳಿತಾತ್ಮಕ ಆಯ್ಕೆ, ಸಾಧನಕ್ಕೆ ಬಂಧನವಲ್ಲ. ಬಂಧನವನ್ನು ನಿರ್ಧರಿಸುವುದು ಖಾಸಗಿ ಕೀಲಿ ಎಲ್ಲಿದೆ ಎಂಬುದು, ನಕಲಿಸಬಹುದಾದ ಕಡತದಿಂದ TPM ವರೆಗೆ.
ನೀವು ಪ್ರತಿ ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗೂ ಪ್ರತ್ಯೇಕ ಪ್ರಮಾಣಪತ್ರ ನೀಡುತ್ತೀರಿ, ಹಾಗಾಗಿ VPN ಅವುಗಳನ್ನು ಬೇರ್ಪಡಿಸಬಲ್ಲದು ಎಂದು ಭಾವಿಸುತ್ತೀರಿ. ಬೇರ್ಪಡಿಸಲಾರದು. ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರವು ಸಂಪರ್ಕಿಸುವವರ ಬಳಿ ಹೊಂದಿಕೆಯಾಗುವ ಖಾಸಗಿ ಕೀಲಿ ಇದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಮತ್ತು ನಕಲಿಸಿದ ಪ್ರೊಫೈಲ್‌ನಲ್ಲೂ ಅದು ಇರುತ್ತದೆ.
ಪ್ರತಿ ಸಾಧನಕ್ಕೆ ಪ್ರಮಾಣಪತ್ರ ಇನ್ನೂ ಒಳ್ಳೆಯ ಕಲ್ಪನೆ. ಅದು ಹೆಚ್ಚಿನ ಜನರು ನಿರೀಕ್ಷಿಸುವುದಕ್ಕಿಂತ ಬೇರೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಅಷ್ಟೆ.
ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರ ವಾಸ್ತವವಾಗಿ ಏನನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ
ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಸಮಯದಲ್ಲಿ ಕ್ಲೈಂಟ್ ತನ್ನ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗುವ ಖಾಸಗಿ ಕೀಲಿಯಿಂದ ಸಹಿ ಹಾಕುತ್ತದೆ, ಮತ್ತು ಸರ್ವರ್ ಆ ಸಹಿಯನ್ನು ತಾನು ನಂಬುವ CA ಎದುರು ಪರಿಶೀಲಿಸುತ್ತದೆ. ಆ ವಿನಿಮಯದಲ್ಲಿ ಯಂತ್ರದ ವರ್ಣನೆ ಯಾವುದೂ ಇಲ್ಲ. ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಕೀಲಿ ಎರಡನ್ನೂ ಹೊಂದಿರುವ ಯಾವುದೇ ಸಾಧನ ಒಂದೇ ರೀತಿಯ ಸಹಿ ಉತ್ಪಾದಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಎರಡನೇ ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗೆ ನಕಲಿಸಿದ ಪ್ರೊಫೈಲ್ ಮೂಲದಂತೆಯೇ ಕಾಣುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರವು ಗುರುತನ್ನು ಹೆಸರಿಸುತ್ತದೆ; ಯಂತ್ರಾಂಶವನ್ನು ಹೆಸರಿಸುವುದಿಲ್ಲ.
ಪ್ರತಿ ಸಾಧನಕ್ಕೆ ವಿಶಿಷ್ಟತೆ ಇನ್ನೂ ಉಪಯುಕ್ತ, ಏಕೆಂದರೆ ಅದು ರದ್ದತಿಯನ್ನು ನಿಖರವಾಗಿಸುತ್ತದೆ. ಇದು ಆಡಳಿತಾತ್ಮಕ ಗುಣ, ತಾಂತ್ರಿಕ ಬೀಗವಲ್ಲ.
ಕೀಲಿ ಸಂಗ್ರಹದ ಮೂರು ಹಂತಗಳು
ಮೊದಲ ಹಂತ ಡಿಸ್ಕ್‌ನಲ್ಲಿರುವ ಕೀಲಿ ಕಡತ. ಅದು ವಿನ್ಯಾಸದಿಂದಲೇ ಸಾಗಿಸಬಹುದಾದದ್ದು, ಮತ್ತು ಹೆಚ್ಚಿನ OpenVPN ಪ್ರೊಫೈಲ್‌ಗಳು ಅಲ್ಲಿಯೇ ಇರುತ್ತವೆ.
ಎರಡನೇ ಹಂತ ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಂ ರಫ್ತು ಮಾಡಲಾಗದದ್ದು ಎಂದು ಗುರುತಿಸುವ ಕೀಲಿ. Windows ತನ್ನ ಪ್ರಮಾಣಪತ್ರ ಸಂಗ್ರಹದಲ್ಲಿ ಸಾಧನ ಕೀಲಿಯನ್ನು ರಚಿಸಿ ಸಾಮಾನ್ಯ ರಫ್ತನ್ನು ನಿರಾಕರಿಸಬಲ್ಲದು, ಇದು ಆಕಸ್ಮಿಕ ನಕಲನ್ನು ತಡೆಯುತ್ತದೆ. ಅದು ಯಂತ್ರಾಂಶದ ಬೆಂಬಲವಿಲ್ಲದ್ದು, ಮತ್ತು ಯಂತ್ರಕ್ಕೆ ಸಾಕಷ್ಟು ಪ್ರವೇಶವಿದ್ದರೆ ಅಂತಹ ಕೀಲಿಗಳನ್ನು ಮರುಪಡೆಯಬಹುದು, ಆದ್ದರಿಂದ ಅದು ಗೋಡೆ ಕಟ್ಟುವ ಬದಲು ಶ್ರಮವನ್ನು ಹೆಚ್ಚಿಸುತ್ತದೆ.
ಮೂರನೇ ಹಂತ ಭದ್ರತಾ ಯಂತ್ರಾಂಶದ ಒಳಗೆ ರಚಿಸುವ ಕೀಲಿ: TPM, ಸ್ಮಾರ್ಟ್ ಕಾರ್ಡ್, SIM ಅಥವಾ PIV ಟೋಕನ್. ಆ ಮಾಡ್ಯೂಲ್‌ಗಳಲ್ಲಿ ತಾವು ರಚಿಸಿದ ಕೀಲಿಯನ್ನು ರಫ್ತು ಮಾಡುವ ಸರ್ಕ್ಯೂಟ್ ಇಲ್ಲ, ಮತ್ತು ಸಹಿ ಮಾಡ್ಯೂಲ್‌ನ ಒಳಗೆಯೇ ನಡೆಯುತ್ತದೆ. ಕೀಲಿ ಯಾರಾದರೂ ನಕಲಿಸಬಹುದಾದ ಕಡತವಾಗಿ ಎಂದೂ ಬದಲಾಗುವುದಿಲ್ಲ.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
ಆ ಕೋಷ್ಟಕವೇ ಮೂರು ಸಾಲುಗಳಲ್ಲಿ ಇಡೀ ವಾದ.
easy-rsa ಏನು ಮಾಡಬಲ್ಲದು ಮತ್ತು ಏನು ಮಾಡಲಾರದು
ಪ್ರತಿ ಸಾಧನಕ್ಕೆ ಪ್ರಮಾಣಪತ್ರ ನೀಡುವುದು ಸರಳ. ಅದೇ CA ಎದುರು ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಪ್ರತ್ಯೇಕ ಸಾಮಾನ್ಯ ಹೆಸರು ರಚಿಸಿ, ಉದಾಹರಣೆಗೆ ./easyrsa build-client-full laptop-a nopass, ಮತ್ತು ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಪುನರಾವರ್ತಿಸಿ. ಯಾವ ಸಾಮಾನ್ಯ ಹೆಸರು ಯಾವ ವ್ಯಕ್ತಿ ಮತ್ತು ಯಂತ್ರಕ್ಕೆ ಸೇರಿದ್ದು ಎಂದು ದಾಖಲಿಸಿ.
ರದ್ದತಿಯೂ ಅಷ್ಟೇ ನೇರ: ./easyrsa revoke laptop-a, ./easyrsa gen-crl ಮೂಲಕ CRL ಅನ್ನು ಮರುಸೃಷ್ಟಿಸಿ, ಮತ್ತು ಸರ್ವರ್ ನಿಜವಾಗಿಯೂ crl-verify ಮೂಲಕ ಅದನ್ನು ಓದುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ.
CA ಮಾಡಲಾರದ್ದು ಏನೆಂದರೆ ಖಾಸಗಿ ಕೀಲಿ ನಂತರ ಎಲ್ಲಿದೆ ಎಂದು ಪರಿಶೀಲಿಸುವುದು. ನೀವು CA ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಕೀಲಿ ರಚಿಸಿ ಸಾಧನಕ್ಕೆ ನಕಲಿಸಿದರೆ, ನೀಡುವಾಗ ಎರಡನೇ ನಕಲು ಮಾಡಿದ್ದೀರಿ. ರಫ್ತು ಮಾಡಲಾಗದ ಕೀಲಿಯನ್ನು ಸಾಧನದಲ್ಲೇ ರಚಿಸಬೇಕು, ಅಥವಾ ಅದನ್ನು ಬಿಡದ ಯಂತ್ರಾಂಶಕ್ಕೆ ಆಮದು ಮಾಡಬೇಕು.
ನಕಲಿಸಿದ ಪ್ರೊಫೈಲ್ ಎದುರು ನಿಲ್ಲುವ ನಿಯಂತ್ರಣಗಳು
ಪ್ರೊಫೈಲ್ ನಕಲಿಸಬಹುದು ಎಂದು ಭಾವಿಸಿ ಮತ್ತು ಅದಕ್ಕೆ ತಕ್ಕಂತೆ ವಿನ್ಯಾಸ ಮಾಡಿ. ಖಾತೆಯನ್ನು ಎರಡನೇ ಅಂಶಕ್ಕೆ ಬಂಧಿಸಿ, ಪ್ರಮಾಣಪತ್ರ ಮಾತ್ರ ಸಾಕಾಗದಂತೆ. ಪ್ರತಿ ಸಾಧನಕ್ಕೂ ಅದರದೇ ನೀತಿ ನೀಡಿ, ಒಂದು ಗುರುತಿನ ವ್ಯಾಪ್ತಿ ಸೀಮಿತವಾಗಿರಲಿ. ಮತ್ತು ಅದೇ ಸಾಮಾನ್ಯ ಹೆಸರು ಎರಡು ವಿಳಾಸಗಳಿಂದ ಒಟ್ಟಿಗೆ ಸಂಪರ್ಕಿಸುತ್ತಿದೆಯೇ ಎಂದು ಗಮನಿಸಿ, ಏಕೆಂದರೆ ಹಂಚಿದ ಪ್ರೊಫೈಲ್ ಸಂಪರ್ಕ ದಾಖಲೆಯಲ್ಲಿ ಹಾಗೆಯೇ ಕಾಣುತ್ತದೆ.
ವೇಗವಾದ, ದಾಖಲಿತ ರದ್ದತಿಯೇ ನಕಲು ನಡೆದ ನಂತರವೂ ಕೆಲಸ ಮಾಡುವ ನಿಯಂತ್ರಣ. ಉಳಿದದ್ದೆಲ್ಲ ತಡೆಗಟ್ಟುವಿಕೆ.
ಸರ್ವರ್ ನಿಜವಾಗಿ ಅವಲಂಬಿಸಬಹುದಾದ ಪ್ರತಿಪಾದನೆ
ವಿಶಿಷ್ಟತೆ CA ಯಿಂದ ಬರುತ್ತದೆ. ಸಾಧನಕ್ಕೆ ಬಂಧನ ಕೀಲಿ ಸಂಗ್ರಹದಿಂದ ಬರುತ್ತದೆ. ತನ್ನ ಕೀಲಿಯನ್ನು ರಫ್ತು ಮಾಡಲಾಗದ ಯಂತ್ರಾಂಶ ಮಾತ್ರ ಪ್ರತಿ ಸಾಧನಕ್ಕೆ ಒಂದು ಪ್ರಮಾಣಪತ್ರವನ್ನು ಎಲ್ಲರೂ ಒಪ್ಪುವ ನೀತಿಯ ಬದಲು ಸರ್ವರ್ ಜಾರಿಗೊಳಿಸುವ ಪ್ರತಿಪಾದನೆಯಾಗಿ ಬದಲಿಸುತ್ತದೆ.