ഓരോ ഉപകരണത്തിനും ഒരു സർട്ടിഫിക്കറ്റ് ഉണ്ടായാലും താക്കോൽ ഉപകരണത്തോട് ബന്ധിക്കപ്പെടുന്നില്ല
ഓരോ ഉപകരണത്തിനുമുള്ള സർട്ടിഫിക്കറ്റ് ഒരു ഭരണപരമായ തിരഞ്ഞെടുപ്പാണ്, ഉപകരണത്തോടുള്ള ബന്ധനമല്ല. ബന്ധനം നിർണ്ണയിക്കുന്നത് സ്വകാര്യ താക്കോൽ എവിടെയാണ് എന്നതാണ്, പകർത്താവുന്ന ഫയൽ മുതൽ TPM വരെ.
നിങ്ങൾ ഓരോ ലാപ്‌ടോപ്പിനും പ്രത്യേക സർട്ടിഫിക്കറ്റ് നൽകുന്നു, അതിനാൽ VPN അവയെ വേർതിരിച്ചറിയുമെന്ന് കരുതുന്നു. കഴിയില്ല. ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് തെളിയിക്കുന്നത് ബന്ധിപ്പിക്കുന്നയാളുടെ പക്കൽ യോജിക്കുന്ന സ്വകാര്യ താക്കോൽ ഉണ്ടെന്നാണ്, പകർത്തിയ പ്രൊഫൈലിന്റെ പക്കലും അതുണ്ട്.
ഓരോ ഉപകരണത്തിനുമുള്ള സർട്ടിഫിക്കറ്റ് ഇപ്പോഴും നല്ല ആശയമാണ്. മിക്ക ആളുകളും പ്രതീക്ഷിക്കുന്നതിൽ നിന്ന് വ്യത്യസ്തമായ ജോലിയാണ് അത് ചെയ്യുന്നത്.
ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് യഥാർത്ഥത്തിൽ എന്താണ് തെളിയിക്കുന്നത്
ഹാൻഡ്‌ഷേക്ക് സമയത്ത് ക്ലയന്റ് തന്റെ സർട്ടിഫിക്കറ്റുമായി യോജിക്കുന്ന സ്വകാര്യ താക്കോൽ ഉപയോഗിച്ച് ഒപ്പിടുന്നു, സർവർ ആ ഒപ്പ് താൻ വിശ്വസിക്കുന്ന CA-യ്ക്കെതിരെ പരിശോധിക്കുന്നു. ആ കൈമാറ്റത്തിൽ യന്ത്രത്തെ വിവരിക്കുന്ന ഒന്നുമില്ല. സർട്ടിഫിക്കറ്റും താക്കോലും ഒരുമിച്ച് ഉള്ള ഏത് ഉപകരണവും ഒരേപോലെയുള്ള ഒപ്പ് സൃഷ്ടിക്കുന്നു, അതിനാൽ രണ്ടാം ലാപ്‌ടോപ്പിലേക്ക് പകർത്തിയ പ്രൊഫൈൽ യഥാർത്ഥത്തിന് തുല്യമായി കാണപ്പെടുന്നു. സർട്ടിഫിക്കറ്റ് ഒരു ഐഡന്റിറ്റിയെ പേരിടുന്നു; ഹാർഡ്‌വെയറിനെ പേരിടുന്നില്ല.
ഓരോ ഉപകരണത്തിനുമുള്ള അദ്വിതീയത ഇപ്പോഴും മൂല്യവത്താണ്, കാരണം അത് റദ്ദാക്കലിനെ കൃത്യമാക്കുന്നു. ഇത് ഭരണപരമായ സ്വത്താണ്, സാങ്കേതിക പൂട്ടലല്ല.
താക്കോൽ സൂക്ഷിക്കുന്നതിന്റെ മൂന്ന് തലങ്ങൾ
ആദ്യ തലം ഡിസ്കിലുള്ള താക്കോൽ ഫയലാണ്. അത് രൂപകൽപ്പനയാൽ കൊണ്ടുനടക്കാവുന്നതാണ്, കൂടാതെ മിക്ക OpenVPN പ്രൊഫൈലുകളും അവിടെയാണ്.
രണ്ടാം തലം ഓപ്പറേറ്റിംഗ് സിസ്റ്റം കയറ്റുമതി ചെയ്യാൻ കഴിയാത്തതെന്ന് അടയാളപ്പെടുത്തുന്ന താക്കോലാണ്. Windows തന്റെ സർട്ടിഫിക്കറ്റ് സ്റ്റോറിൽ ഒരു ഉപകരണ താക്കോൽ സൃഷ്ടിച്ച് സാധാരണ കയറ്റുമതി നിരസിക്കാം, ഇത് അലക്ഷ്യമായ പകർപ്പ് തടയുന്നു. അത് ഹാർഡ്‌വെയർ പിന്തുണയില്ലാത്തതാണ്, യന്ത്രത്തിലേക്ക് മതിയായ പ്രവേശനമുണ്ടെങ്കിൽ അത്തരം താക്കോലുകൾ വീണ്ടെടുക്കാം, അതിനാൽ അത് മതിൽ പണിയുന്നതിന് പകരം പ്രയത്നം വർദ്ധിപ്പിക്കുന്നു.
മൂന്നാം തലം സുരക്ഷാ ഹാർഡ്‌വെയറിനുള്ളിൽ സൃഷ്ടിക്കുന്ന താക്കോലാണ്: TPM, സ്മാർട്ട് കാർഡ്, SIM അല്ലെങ്കിൽ PIV ടോക്കൺ. ആ മൊഡ്യൂളുകൾക്ക് താൻ സൃഷ്ടിച്ച താക്കോൽ കയറ്റുമതി ചെയ്യാനുള്ള സർക്യൂട്ട് ഇല്ല, ഒപ്പിടൽ മൊഡ്യൂളിനുള്ളിൽ നടക്കുന്നു. താക്കോൽ ആർക്കും പകർത്താവുന്ന ഒരു ഫയലായി ഒരിക്കലും മാറുന്നില്ല.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
ആ പട്ടിക മൂന്ന് വരികളിലായി മുഴുവൻ വാദമാണ്.
easy-rsa എന്ത് ചെയ്യാനാകും, എന്ത് ചെയ്യാനാകില്ല
ഓരോ ഉപകരണത്തിനും സർട്ടിഫിക്കറ്റ് നൽകുന്നത് ലളിതമാണ്. അതേ CA-യ്ക്കെതിരെ ഓരോ ഉപകരണത്തിനും പ്രത്യേക പൊതുനാമം സൃഷ്ടിച്ച്, ഉദാഹരണത്തിന് ./easyrsa build-client-full laptop-a nopass, ഓരോ ഉപകരണത്തിനും ആവർത്തിക്കുക. ഏത് പൊതുനാമം ഏത് വ്യക്തിക്കും യന്ത്രത്തിനും സ്വന്തമാണെന്ന് രേഖപ്പെടുത്തുക.
റദ്ദാക്കലും അത്രതന്നെ നേരിട്ടുള്ളതാണ്: ./easyrsa revoke laptop-a, ./easyrsa gen-crl ഉപയോഗിച്ച് CRL വീണ്ടും സൃഷ്ടിക്കുക, സർവർ യഥാർത്ഥത്തിൽ crl-verify വഴി അത് വായിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക.
CA-യ്ക്ക് ചെയ്യാനാകാത്തത്, സ്വകാര്യ താക്കോൽ പിന്നീട് എവിടെയാണെന്ന് പരിശോധിക്കുകയാണ്. നിങ്ങൾ CA ഹോസ്റ്റിൽ താക്കോൽ സൃഷ്ടിച്ച് ഉപകരണത്തിലേക്ക് പകർത്തുകയാണെങ്കിൽ, നൽകുമ്പോൾ രണ്ടാം പകർപ്പ് സൃഷ്ടിച്ചു. കയറ്റുമതി ചെയ്യാനാകാത്ത താക്കോൽ ഉപകരണത്തിൽ തന്നെ സൃഷ്ടിക്കണം, അല്ലെങ്കിൽ അത് വിട്ടുകൊടുക്കാത്ത ഹാർഡ്‌വെയറിലേക്ക് ഇറക്കുമതി ചെയ്യണം.
പകർത്തിയ പ്രൊഫൈലിനെ അതിജീവിക്കുന്ന നിയന്ത്രണങ്ങൾ
പ്രൊഫൈൽ പകർത്താമെന്ന് കരുതി അതിനനുസരിച്ച് രൂപകൽപ്പന ചെയ്യുക. അക്കൗണ്ടിനെ രണ്ടാം ഘടകത്തോട് ബന്ധിപ്പിക്കുക, സർട്ടിഫിക്കറ്റ് മാത്രം മതിയാകാതിരിക്കാൻ. ഓരോ ഉപകരണത്തിനും അതിന്റേതായ നയം നൽകുക, ഒരു ഐഡന്റിറ്റിയുടെ പരിധി പരിമിതമായിരിക്കാൻ. ഒരേ പൊതുനാമം രണ്ട് വിലാസങ്ങളിൽ നിന്ന് ഒരേസമയം ബന്ധിപ്പിക്കുന്നുണ്ടോ എന്ന് നിരീക്ഷിക്കുക, കാരണം കണക്ഷൻ ലോഗിൽ പങ്കിട്ട പ്രൊഫൈൽ അങ്ങനെയാണ് കാണപ്പെടുന്നത്.
വേഗത്തിലുള്ള, രേഖപ്പെടുത്തിയ റദ്ദാക്കലാണ് പകർപ്പ് സംഭവിച്ചതിന് ശേഷവും പ്രവർത്തിക്കുന്ന നിയന്ത്രണം. ബാക്കിയെല്ലാം പ്രതിരോധമാണ്.
സർവറിന് യഥാർത്ഥത്തിൽ ആശ്രയിക്കാനാകുന്ന അവകാശവാദം
അദ്വിതീയത CA-യിൽ നിന്ന് വരുന്നു. ഉപകരണത്തോടുള്ള ബന്ധനം താക്കോൽ സൂക്ഷിക്കുന്നതിൽ നിന്ന് വരുന്നു. തന്റെ താക്കോൽ കയറ്റുമതി ചെയ്യാൻ കഴിയാത്ത ഹാർഡ്‌വെയർ മാത്രമാണ് ഓരോ ഉപകരണത്തിനുമുള്ള ഒരു സർട്ടിഫിക്കറ്റിനെ എല്ലാവരും പാലിക്കാൻ സമ്മതിക്കുന്ന നയത്തിന് പകരം സർവർ നടപ്പാക്കുന്ന അവകാശവാദമാക്കി മാറ്റുന്നത്.