VPN ಖಾಸಗಿ ಕೀ ಎಲ್ಲಿ ಇರಬೇಕು: ಫೈಲ್, CNG ಅಥವಾ TPM?

VPN ಖಾಸಗಿ ಕೀ ಎಲ್ಲಿ ಇರಬೇಕು ಎಂಬುದನ್ನು ಎರಡು ಪ್ರಶ್ನೆಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ: ಕೀ ವಸ್ತುವನ್ನು ಹೋಸ್ಟ್‌ನಿಂದ ನಕಲಿಸಬಹುದೇ, ಮತ್ತು ಒಂದು ಪ್ರಕ್ರಿಯೆ ಕೀಬೋರ್ಡ್‌ನಲ್ಲಿ ಯಾರೂ ಇಲ್ಲದೆ ಅದನ್ನು ಬಳಸಬಹುದೇ. ಶೇಖರಣೆಯ ಮಾರ್ಕೆಟಿಂಗ್ ಲೇಬಲ್ ಎರಡಕ್ಕೂ ಉತ್ತರಿಸುವುದಿಲ್ಲ. ಮರುಪ್ರಾರಂಭದ ನಂತರ ಹಿಂತಿರುಗಬೇಕಾದ ಟನೆಲ್ ಡೀಮನ್‌ಗೆ ಮೇಲ್ವಿಚಾರಣೆ ಇಲ್ಲದ ಬಳಕೆ ಬೇಕು, ಇದು ಮನುಷ್ಯ ಟೈಪ್ ಮಾಡಿದ PIN ಅನ್ನು ಅವಲಂಬಿಸಿದ ಎಲ್ಲವನ್ನೂ ಹೊರಗಿಡುತ್ತದೆ.

ನಕಲಿಸುವಿಕೆ ಮತ್ತು ಬಳಕೆಯ ನಡುವೆ ಆಯ್ಕೆಮಾಡಿ

ನಕಲಿಸುವಿಕೆ ಮತ್ತು ಬಳಕೆ ಬೇರೆ ಬೇರೆ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತವೆ, ಆದ್ದರಿಂದ ಅವನ್ನು ಒಂದಲ್ಲ ಎರಡು ಅಗತ್ಯಗಳೆಂದು ಪರಿಗಣಿಸಿ. ಕೀ ಬೈಟ್‌ಗಳನ್ನು ಓದಬಲ್ಲ ಆಕ್ರಮಣಕಾರ ಗುರುತನ್ನು ಇನ್ನೊಂದು ಹೋಸ್ಟ್‌ಗೆ ಒಯ್ಯುತ್ತಾನೆ, ಮೂಲ ಯಂತ್ರಕ್ಕೆ ಗೊತ್ತಾಗುವುದಿಲ್ಲ. ಬೈಟ್‌ಗಳನ್ನು ಓದಲಾಗದಿದ್ದರೂ ಸಹಿ ಪ್ರಕ್ರಿಯೆಯನ್ನು ತಲುಪಬಲ್ಲ ಆಕ್ರಮಣಕಾರ ಆ ಪ್ರವೇಶ ಇರುವವರೆಗೆ ದೃಢೀಕರಿಸಲ್ಪಡುತ್ತಾನೆ.

ಫೈಲ್‌ನಲ್ಲಿನ ಕೀ ಸುಲಭವಾಗಿ ನಕಲಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದರ ಬ್ಯಾಕಪ್ ಮತ್ತು ಮರುಸ್ಥಾಪನೆಯೂ ಸುಲಭ. ಸಾಫ್ಟ್‌ವೇರ್ ಕೀ ಶೇಖರಣೆ API ಬದಲಿಸುತ್ತದೆ, ಗಡಿಯನ್ನಲ್ಲ: ಪೂರೈಕೆದಾರ ತನ್ನದೇ ರಫ್ತು ಕರೆಗಳನ್ನು ನಿರಾಕರಿಸುತ್ತಾನೆ, ಆದರೆ ಕೀ ಸ್ಥಾಪಿಸಿದ ಅದೇ ನಿರ್ವಾಹಕ ಸಂದರ್ಭಕ್ಕೆ ವಸ್ತುವನ್ನು ತಲುಪುವ ಬೇರೆ ಮಾರ್ಗಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಇರುತ್ತವೆ. ಸಾಫ್ಟ್‌ವೇರ್ ಪೂರೈಕೆದಾರದಲ್ಲಿ ರಫ್ತು ಮಾಡಲಾಗದಿರುವುದು ಬೆಂಬಲಿತ ಕಾರ್ಯಾಚರಣೆಗಳ ಬಗ್ಗೆ ಹೇಳಿಕೆ, ಹಾರ್ಡ್‌ವೇರ್ ಗೋಡೆಗೆ ಸಾಕ್ಷ್ಯವಲ್ಲ. ಇದನ್ನು ಆಕಸ್ಮಿಕ ನಕಲಿಗೆ ವಿರುದ್ಧ ವೇಗ ನಿಯಂತ್ರಕವೆಂದು ನೋಡಿ, ನಿಮ್ಮ ಅಧಿವೇಶನ ಈಗಾಗಲೇ ಇರುವವರಿಂದ ರಕ್ಷಣೆಯೆಂದು ಅಲ್ಲ.

TPM ಅಥವಾ ಸ್ಮಾರ್ಟ್ ಕಾರ್ಡ್ ಸಹಿ ಕಾರ್ಯಾಚರಣೆಯನ್ನು ಹಾರ್ಡ್‌ವೇರ್ ಒಳಗೆ ನಿರ್ವಹಿಸಿ ಫಲಿತಾಂಶವನ್ನು ಮಾತ್ರ ಹಿಂತಿರುಗಿಸುತ್ತದೆ. ಇದು ನಕಲು ಮಾರ್ಗವನ್ನು ಮುಚ್ಚಿ, ಸಹಿ ಕೇಳಬಲ್ಲ ಯಾವುದಕ್ಕೂ ಬಳಕೆ ಮಾರ್ಗವನ್ನು ತೆರೆದಿಡುತ್ತದೆ.

ಶೇಖರಣೆಯನ್ನು ಟನೆಲ್ ಡೀಮನ್‌ಗೆ ಹೊಂದಿಸಿ

ಡೀಮನ್ ಇದನ್ನು ಭದ್ರತಾ ನೀತಿಗಿಂತ ಹೆಚ್ಚು ಸೀಮಿತಗೊಳಿಸುತ್ತದೆ. WireGuard ಫೈಲ್ ಅಥವಾ wg set ಇನ್‌ಪುಟ್‌ನಿಂದ base64 ಖಾಸಗಿ ಕೀ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಶೇಖರಣೆಗೆ ಮಾರ್ಗವಿಲ್ಲ, ಆದ್ದರಿಂದ TPM ಬೆಂಬಲಿತ ಇಂಟರ್‌ಫೇಸ್ ಕೀ ಪ್ರಶ್ನೆಯಲ್ಲಿಲ್ಲ. OpenSSL 3 ವಿರುದ್ಧ ನಿರ್ಮಿಸಲಾದ OpenVPN ಪೂರೈಕೆದಾರ URI ಮೂಲಕ ಕೀ ಲೋಡ್ ಮಾಡಬಹುದು, strongSwan PKCS#11 ಬೆಂಬಲದ ಜೊತೆಗೆ TPM ಪ್ಲಗಿನ್ ನೀಡುತ್ತದೆ, ಆದರೆ ಎರಡೂ ನಿಮ್ಮ ಪ್ಯಾಕೇಜ್ ಹೇಗೆ ಸಂಕಲಿಸಲಾಗಿದೆ ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿವೆ.

ಆಯ್ಕೆ ಮಾಡಿದ ಶೇಖರಣೆಯನ್ನು ತಲುಪಲಾಗದ ಡೀಮನ್ ಹಾರ್ಡ್‌ವೇರ್ ಗಡಿಯನ್ನು ಅಲಂಕಾರವಾಗಿ ಮಾಡುತ್ತದೆ. ಯಾರೋ ಕೀಯನ್ನು ಒಮ್ಮೆ ರಫ್ತು ಮಾಡಿ ಫೈಲ್‌ನಲ್ಲಿ ಬಿಡುತ್ತಾರೆ, ಉಳಿದ ವಿನ್ಯಾಸ ಆ ನಕಲಿನಲ್ಲಿ ಸದ್ದಿಲ್ಲದೆ ಚಲಿಸುತ್ತದೆ.

ನವೀಕರಣ ಹೊಂದಾಣಿಕೆಯ ಇನ್ನೊಂದು ಅರ್ಧ, ಇಲ್ಲಿಯೇ ಹೆಚ್ಚಿನ ವಿನ್ಯಾಸಗಳು ಒಡೆಯುತ್ತವೆ. ಮೊದಲ ನೋಂದಣಿಯಲ್ಲಿ ಕೆಲಸ ಮಾಡಿ ಪ್ರತಿ ಮರುಬಿಡುಗಡೆಗೆ ಕನ್ಸೋಲ್ ಲಾಗಿನ್ ಕೇಳುವ ಶೇಖರಣೆ, ಪ್ರಮಾಣಪತ್ರ ಅನನುಕೂಲ ಸಮಯದಲ್ಲಿ ಮುಗಿದ ಮೊದಲ ಬಾರಿಗೆ ಬೈಪಾಸ್ ಆಗುತ್ತದೆ. ಪ್ರಸ್ತುತ ಕೀಗೆ ಇನ್ನೂ ತಿಂಗಳುಗಳಿದ್ದಾಗ ಮರುಬಿಡುಗಡೆ ಮಾರ್ಗವನ್ನು ಪರೀಕ್ಷಿಸಿ.

ಕೀಯನ್ನು ಸರಿಸುವ ಮೊದಲು ಪಟ್ಟಿ ಮಾಡಿ

ಕೀ ಏನು, ಅದು ಎಲ್ಲಿ ವಾಸಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಬದಲಿಸುವ ಮೊದಲು ದಾಖಲಿಸಿ, ಏಕೆಂದರೆ subject alternative names ಕಳೆದುಕೊಳ್ಳುವ ವರ್ಗಾವಣೆ ಟನೆಲ್ ಅನ್ನು ರೂಟಿಂಗ್ ದೋಷವಾಗಿ ಓದುವ ರೀತಿಯಲ್ಲಿ ಮುರಿಯುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರವನ್ನು ಡಂಪ್ ಮಾಡಿ, ಖಾಸಗಿ ಕೀ ಡೀಮನ್ ನಿರೀಕ್ಷಿಸುವ ಸ್ಥಳದಲ್ಲಿ ಓದಬಹುದೇ ಎಂದು ಖಚಿತಪಡಿಸಿ ಮತ್ತು ಜೋಡಿ ನಿಜವಾಗಿ ಹೊಂದುತ್ತದೆಯೇ ಪರಿಶೀಲಿಸಿ.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

ಕೊನೆಯ ಎರಡು ಸಾರಾಂಶಗಳು ಒಂದೇ ಆಗಿರಬೇಕು. ಇಲ್ಲದಿದ್ದರೆ ಡೀಮನ್ ಸೆಟಪ್ ಮುಗಿಸಿ ನಂತರ ಪ್ರತಿ ಪ್ರಯತ್ನದಲ್ಲಿ ಪ್ರಮಾಣಪತ್ರ ಅಥವಾ ಸಹಿ ದೋಷದಿಂದ ವಿಫಲವಾಗುತ್ತದೆ, ಅದು ನಿಜವಾದ ಕಾರಣದ ಹತ್ತಿರ ಎಲ್ಲೂ ಸೂಚಿಸುವುದಿಲ್ಲ. WireGuard ಸಮಾನವಾದದ್ದು ಚಿಕ್ಕದು, ಏಕೆಂದರೆ ಸಾರ್ವಜನಿಕ ಕೀ ನೇರವಾಗಿ ಖಾಸಗಿಯಿಂದ ಪಡೆಯಲಾಗುತ್ತದೆ: wg pubkey < /etc/wireguard/wg0.key ನಿಮ್ಮ ಸರ್ವರ್ ಈಗಾಗಲೇ ಸಂಗ್ರಹಿಸಿರುವ ಸಹವರ್ತಿ ಕೀಯನ್ನು ಮುದ್ರಿಸಬೇಕು.

ಅನುಮತಿಗಳು ಅದೇ ಪಟ್ಟಿಗೆ ಸೇರಿವೆ. stat -c '%a %U:%G' /etc/wireguard/wg0.key 600 root:root ಹಿಂತಿರುಗಿಸಬೇಕು, ಮತ್ತು ಗುಂಪು ಅಥವಾ ಜಗತ್ತಿಗೆ ಓದಬಹುದಾದ ಯಾವುದೇ ವಿಷಯ ಕೀ ಈಗಾಗಲೇ ನೀವು ಊಹಿಸದ ಪ್ರಕ್ರಿಯೆಗಳಿಗೆ ಲಭ್ಯವಿತ್ತು ಎಂದರ್ಥ.

ಶೇಖರಣೆ ಮತ್ತು ಬಳಕೆ ಮಾರ್ಗವನ್ನು ಪರಿಶೀಲಿಸಿ

ಪರಿಶೀಲನೆಯಲ್ಲಿ ಮೂರು ಭಾಗಗಳಿವೆ, ಮೂರನೆಯದನ್ನು ಬಿಟ್ಟುಬಿಡಲಾಗುತ್ತದೆ. ಕೀ ನೀವು ಆಯ್ಕೆ ಮಾಡಿದ ಶೇಖರಣೆಯಲ್ಲಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಡೀಮನ್ ಅದೇ ಕೀಯನ್ನು ಲೋಡ್ ಮಾಡಿದೆ ಉಳಿದ ನಕಲನ್ನಲ್ಲ ಎಂದು ಖಚಿತಪಡಿಸಿ, ನಂತರ ರಫ್ತು ಕಲಾಕೃತಿ ಹೋದ ನಂತರವೂ ಅದು ಪ್ರಾರಂಭವಾಗುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

Windows ನಲ್ಲಿ ಮೊದಲ ಆದೇಶ ವೈಯಕ್ತಿಕ ಶೇಖರಣೆಯನ್ನು ಪಟ್ಟಿ ಮಾಡಿ ಪ್ರತಿ ನಮೂದಿನ ಪಕ್ಕದಲ್ಲಿ ಕೀ ಪೂರೈಕೆದಾರರನ್ನು ಮುದ್ರಿಸುತ್ತದೆ, ಅಲ್ಲಿಯೇ ಹಾರ್ಡ್‌ವೇರ್ ಬೆಂಬಲಿತವೆಂದು ಕಾಣುವ ಆದರೆ ಸಾಫ್ಟ್‌ವೇರ್ ಪೂರೈಕೆದಾರರಲ್ಲಿ ಕುಳಿತಿರುವ ಪ್ರಮಾಣಪತ್ರ ಕಾಣಿಸುತ್ತದೆ. ಎರಡನೆಯದು ಪ್ಲಾಟ್‌ಫಾರ್ಮ್ ಕ್ರಿಪ್ಟೋ ಪೂರೈಕೆದಾರರ ಬಳಿಯಿರುವ ಕೀಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಅಲ್ಲಿ ಇಲ್ಲದ VPN ಗುರುತು ಅದರ ಪ್ರಮಾಣಪತ್ರ ಇರುವಾಗ, ಖಾಸಗಿ ಅರ್ಧ ಬೇರೆಡೆ ವಾಸಿಸುತ್ತದೆ ಎಂದರ್ಥ. Linux ಗೇಟ್‌ವೇಯಲ್ಲಿ ipsec listcerts strongSwan ಏನು ಲೋಡ್ ಮಾಡಿತೆಂದು, TPM ಪ್ಲಗಿನ್‌ನಿಂದ ಬಂದ ಕೀಗಳೂ ಸೇರಿ ವರದಿ ಮಾಡುತ್ತದೆ. ನಮೂದುಗಳ ಸಂಖ್ಯೆಯನ್ನು ನಂಬುವ ಬದಲು ಬೆರಳಚ್ಚುಗಳು ಅಥವಾ ಸಾರ್ವಜನಿಕ ಕೀ ಹ್ಯಾಶ್‌ಗಳನ್ನು ಪಟ್ಟಿಯೊಂದಿಗೆ ಹೋಲಿಸಿ.

ಋಣಾತ್ಮಕ ಪರೀಕ್ಷೆಯೇ ವಿನ್ಯಾಸವನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ರಫ್ತು ಮಾಡಿದ ಕೀಯನ್ನು ಡೀಮನ್ ಸಂರಚನಾ ಡೈರೆಕ್ಟರಿಯಿಂದ ಹೊರಗೆ ಸರಿಸಿ, ಸೇವೆಯನ್ನು ಮರುಪ್ರಾರಂಭಿಸಿ ಮತ್ತು ಲಾಗ್‌ನಲ್ಲಿ ಅದು ಯಾವ ಗುರುತನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುತ್ತದೆ ಎಂದು ಓದಿ. ಹೇಗಿದ್ದರೂ ಮೇಲೇರುವ ಟನೆಲ್ ಶೇಖರಣೆಯನ್ನು ಬಳಸುತ್ತದೆ; ವಿಫಲ ಪ್ರಾರಂಭ ವಿನ್ಯಾಸ ನಿಜವಾಗಿ ನಕಲಿನಲ್ಲಿ ಚಲಿಸುತ್ತಿತ್ತು ಎಂದರ್ಥ.

ನವೀಕರಣ ಮತ್ತು ಹಿಂತಿರುಗುವಿಕೆ ಬರೆಯಿರಿ

ಹಿಂತಿರುಗುವಿಕೆ ಎರಡು ಕುಟುಂಬಗಳ ನಡುವೆ ತೀವ್ರವಾಗಿ ಭಿನ್ನ, ಆ ಭೇದ ವಿನ್ಯಾಸ ಟಿಪ್ಪಣಿಗೆ ಸೇರಿದ್ದು, ಘಟನೆ ಕರೆಗಲ್ಲ. ಫೈಲ್ ಕೀಯನ್ನು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿ ಬ್ಯಾಕಪ್ ಮಾಡಿ ಮರುಸ್ಥಾಪಿಸಬಹುದು, ಆದ್ದರಿಂದ ವಿಫಲ ವರ್ಗಾವಣೆ ಹಿಂತಿರುಗಿಸಬಹುದಾದದ್ದು. ರಫ್ತು ಮಾಡಲಾಗದ ಕೀಯನ್ನು ಬ್ಯಾಕಪ್ ಮಾಡಲೇ ಸಾಧ್ಯವಿಲ್ಲ, ಇದು ಸಾಧನ ಸತ್ತಾಗ ಮರುಬಿಡುಗಡೆ ಮತ್ತು ಮರುನೋಂದಣಿಯನ್ನು ಏಕೈಕ ಚೇತರಿಕೆ ಮಾರ್ಗವಾಗಿಸುತ್ತದೆ.

ಅವಧಿ ಮುಗಿಯುವಿಕೆಯನ್ನು ಅಡ್ಡಿಯಾಗುವ ಮೊದಲು ಪರಿಶೀಲಿಸಿ: openssl x509 -in vpn.crt -noout -checkend 2592000 ಪ್ರಮಾಣಪತ್ರ ಮೂವತ್ತು ದಿನಗಳಲ್ಲಿ ಮುಗಿದಾಗ ಶೂನ್ಯವಲ್ಲದ ಕೋಡ್‌ನೊಂದಿಗೆ ಕೊನೆಗೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದು ನೇರವಾಗಿ ಮೇಲ್ವಿಚಾರಣಾ ತಪಾಸಣೆಗೆ ಸೇರುತ್ತದೆ. ಆ ಸಾಲಿನ ವಾರಕ್ಕೊಮ್ಮೆ ಚಾಲನೆ ಯಾರೂ ಯೋಜಿಸದ ನವೀಕರಣವನ್ನು ಹಿಡಿಯುತ್ತದೆ.

ತೆಗೆಯುವಿಕೆ ಸರ್ವರ್‌ನಲ್ಲಿ ನಡೆಯುತ್ತದೆ: ಸಹವರ್ತಿಯನ್ನು ಅಳಿಸಿ ಅಥವಾ ಕ್ರಮ ಸಂಖ್ಯೆಯನ್ನು ರದ್ದುಗೊಳಿಸಿ, ನಂತರ ಟನೆಲ್ ವಿಫಲವಾಗುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ಕ್ಯಾಶ್ ಮಾಡಿದ ಅಧಿವೇಶನವಿರುವ ಕ್ಲೈಂಟ್ ಅರ್ಧ ಪೂರ್ಣಗೊಂಡ ರದ್ದತಿಯನ್ನು ಸ್ವಲ್ಪ ಕಾಲ ಮರೆಮಾಡಬಹುದು. ರದ್ದತಿ CA ಡೇಟಾಬೇಸ್‌ಗೆ ಮಾತ್ರವಲ್ಲ, ಕೇಂದ್ರೀಕರಣದ CRL ಅಥವಾ OCSP ಮಾರ್ಗಕ್ಕೂ ತಲುಪಬೇಕು. ಪ್ರಮಾಣಪತ್ರ ಸಾರ್ವಜನಿಕ ದಾಖಲೆ, ಮತ್ತು RFC 5280 ಪ್ರೊಫೈಲ್ ಅದು ಹೇಗೆ ಮೌಲ್ಯೀಕರಣಗೊಳ್ಳುತ್ತದೆ ಎಂಬುದನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ; ಆ ಮೌಲ್ಯೀಕರಣದ ಯಾವುದೂ ತಿರುಗುವಿಕೆಗೆ ಮೊದಲು ನಕಲಿಸಿದ ಖಾಸಗಿ ಕೀಯನ್ನು ರಕ್ಷಿಸುವುದಿಲ್ಲ.

ನಿರ್ಣಯವನ್ನು ಒಂದೇ ಸ್ಥಳದಲ್ಲಿ ಬರೆಯಿರಿ: ಯಾವ ಶೇಖರಣೆ ಕೀಯನ್ನು ಇಟ್ಟುಕೊಳ್ಳುತ್ತದೆ, ಯಾವ ಪ್ರಕ್ರಿಯೆ ಅದನ್ನು ಬಳಸಬಹುದು, ಯಾರು ಮರುಬಿಡುಗಡೆ ಮಾಡಬಹುದು ಮತ್ತು ಹಿಂತಿರುಗುವಿಕೆ ಏನು. ಆ ಪ್ಯಾರಾಗ್ರಾಫ್‌ನೇ ಲೆಕ್ಕಪರಿಶೋಧಕರು ಕೇಳುವುದು, ಮತ್ತು ಸಿಬ್ಬಂದಿ ಬದಲಾವಣೆಯಿಂದ ಪಾರಾಗುವುದು.