സർവർ കീകൾക്കും ഉപയോക്തൃ ക്രെഡൻഷ്യലുകൾക്കും വെവ്വേറെ ഉടമകൾ ആവശ്യമായത് എന്തുകൊണ്ട്

നിങ്ങളുടെ ഗേറ്റ്വേ അതു തന്നെയാണെന്ന് തെളിയിക്കുന്ന കീയും ഒരു വ്യക്തിക്ക് ചേരാമെന്ന് പറയുന്ന ക്രെഡൻഷ്യലും രണ്ടും രഹസ്യങ്ങളാണ്, സമാനത അവിടെ തീരുന്നു. ഒന്ന് ഓരോ ക്ലയന്റിനും ഒരു സേവനത്തെ തിരിച്ചറിയിക്കുന്നു; മറ്റേത് ആ സേവനത്തിന് ഒരു ഉപയോക്താവിനെ തിരിച്ചറിയിക്കുന്നു. ഇവ കലർത്തുന്നത് ക്രമീകരണത്തിൽ ഒരു ഘട്ടം ലാഭിക്കുകയും സംഭവ സമയത്ത് ഒരു ഉച്ചയ്ക്ക് ശേഷം നഷ്ടപ്പെടുത്തുകയും ചെയ്യുന്നു, കാരണം ഓരോന്നിന്റെയും വീണ്ടെടുപ്പ് ഒരേ പ്രവർത്തനമല്ല. വേർതിരിക്കൽ ക്രമീകരിക്കാൻ വിരസമാണ്, ഒഴിവാക്കാൻ ഓർമയിൽ നിൽക്കും.

രണ്ട് രഹസ്യങ്ങൾ, രണ്ട് വ്യത്യസ്ത ഉടമകൾ

ഗേറ്റ്വേ കൈകൊടുക്കൽ സമയത്ത് സ്വന്തം ഐഡന്റിറ്റി തെളിയിക്കുക എന്നത് മാത്രം ജോലിയായുള്ള ഒരു സ്വകാര്യ കീയോ സർട്ടിഫിക്കറ്റോ സൂക്ഷിക്കുന്നു. അത് പരിശോധിക്കാൻ ക്ലയന്റുകൾക്ക് യോജിക്കുന്ന പൊതു വസ്തു വേണം, സ്വകാര്യ പകുതി അവർക്ക് ഒരിക്കലും വേണ്ട. ഈ അസമത്വമാണ് ഓരോ ഉപയോക്താവിനും സർവറിനെ അനുകരിക്കാനുള്ള കഴിവ് നൽകാതെ സർവർ പ്രാമാണീകരണം സാധ്യമാക്കുന്നത്.

ഉപയോക്തൃ വസ്തു എതിർദിശയിലാണ് പോകുന്നത്. ക്ലയന്റിന്റെ സ്വകാര്യ കീ, ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ പാസ്വേർഡ് ഈ പ്രത്യേക വ്യക്തിക്കോ ഉപകരണത്തിനോ പ്രവേശനം നൽകിയതായി കാണിക്കുന്നു. അത് വിതരണം ചെയ്യപ്പെടുകയും ഉപകരണങ്ങൾക്കിടയിൽ പകർത്തപ്പെടുകയും ഒടുവിൽ റദ്ദാക്കപ്പെടുകയും ചെയ്യുമെന്ന് പ്രതീക്ഷിക്കുന്നു.

ഓരോ പങ്കാളിക്കും ഒരു കീ ജോടി ഉള്ളതിനാൽ WireGuard വേർതിരിക്കൽ വ്യക്തമാക്കുന്നു: സർവറിന്റെ സ്വകാര്യ കീ സർവറിൽ തന്നെ തുടരും, ഉപയോക്താവിന് നൽകുന്ന കോൺഫിഗറേഷൻ ഫയലിൽ അവരുടെ സ്വന്തം സ്വകാര്യ കീയും സർവറിന്റെ പൊതു കീയും ഉണ്ടാകും. സർവറിന്റെ സ്വകാര്യ കീ അടങ്ങിയ പ്രൊഫൈൽ ഒരു ഷോർട്ട്കട്ടല്ല, അത് ഫയൽ പങ്കിട്ടിനായി കാത്തിരിക്കുന്ന ഒരു വിട്ടുവീഴ്ച യാണ്.

വേർതിരിക്കൽ തീരുമാനിക്കുന്ന മൂന്ന് ചോദ്യങ്ങൾ

രഹസ്യം ആർക്ക് വായിക്കാൻ കഴിയണം, വെളിപ്പെടുത്തൽ ആക്രമണകാരിക്ക് എന്ത് ചെയ്യാൻ അനുവദിക്കും, പരിഹാരം ഒരു റദ്ദാക്കലാണോ സേവന പുനർനിർമ്മാണമാണോ എന്ന് ചോദിക്കുക.

ഉപയോക്താവിന് അത് വായിക്കാൻ കഴിയുകയും അത് ഗേറ്റ്വേ ഐഡന്റിറ്റി തെളിയിക്കുകയും ചെയ്താൽ, രണ്ടാം ചോദ്യത്തിന്റെ ഉത്തരം ആക്രമണകാരിക്ക് എല്ലാ ക്ലയന്റുകളുടെയും മുന്നിൽ നിങ്ങളുടെ സർവറിനെ അനുകരിക്കാനാകും എന്നതാണ് — ഇത് ഏറ്റവും മോശം ഫലമാണ്, കാരണം ക്ലയന്റുകൾ ആ ഐഡന്റിറ്റിയെ വിശ്വസിക്കാൻ രൂപകൽപ്പന ചെയ്തവയാണ്. അത് ഒരു ഉപയോക്താവിനെ മാത്രം തെളിയിക്കുന്നുവെങ്കിൽ, വെളിപ്പെടുത്തൽ ആ ഉപയോക്താവിന് ഒരു പിയറിലേക്കുള്ള പ്രവേശനം നൽകുന്നു, റദ്ദാക്കൽ സാധാരണ പ്രവർത്തനമാണ്. അത് സർട്ടിഫിക്കറ്റ് അതോറിറ്റി കീയാണെങ്കിൽ, വെളിപ്പെടുത്തൽ രണ്ടിനെക്കാളും മോശമാണ്, കാരണം ഓരോ എൻഡ്പോയിന്റും വിശ്വസിക്കുന്ന ഐഡന്റിറ്റികൾ ആക്രമണകാരിക്ക് സൃഷ്ടിക്കാനാകും.

ആ മൂന്ന് ഉത്തരങ്ങൾ സംഭരണ നിയമം നൽകുന്നു: CA കീ ഓഫ്ലൈനിലോ സേഫിലോ താമസിക്കുന്നു, ഗേറ്റ്വേ കീ ഗേറ്റ്വേയിൽ താമസിക്കുന്നു, ഉപയോക്തൃ കീകൾ ഉപയോക്താക്കളുടെ അടുത്ത് താമസിക്കുന്നു. സൗകര്യത്തിനായി മൂന്നും ഒരു ഡയറക്ടറിയിൽ ഇടുന്ന ഏത് ക്രമീകരണവും ഒരു തീരുമാനത്തെ അപകടമാക്കി മാറ്റിയിരിക്കുന്നു.

ക്ലയന്റിന് യഥാർത്ഥത്തിൽ എന്ത് വേണം

ക്ലയന്റിന് പൊതു സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ പിയറിന്റെ പൊതു കീ, വിശ്വസിക്കേണ്ട CA വസ്തുവോ വിരലടയാളമോ, സ്വന്തം സ്വകാര്യ കീ, എൻഡ്പോയിന്റ് വിശദാംശങ്ങൾ എന്നിവ വേണം. ആ പട്ടികയിൽ ഗേറ്റ്വേയുടെ സ്വകാര്യ ഐഡന്റിറ്റിയിൽ പെടുന്ന ഒന്നുമില്ല.

ഡോക്യുമെന്റേഷനാണ് ഇത് ചോരുന്ന സ്ഥലം. സർവർ ഡയറക്ടറി പകർത്തി ആവശ്യമില്ലാത്തത് ഇല്ലാതാക്കൂ എന്ന് പറയുന്ന ഗൈഡ് ഇതിനകം തെറ്റായ മാതൃക പഠിപ്പിച്ചു, കാരണം ഇല്ലാതാക്കൽ ഘട്ടത്തിന് ശേഷം ബാക്കിയാകുന്ന ഫയൽ ആരും പരിശോധിക്കാറില്ല.

ഗേറ്റ്വേയെ തൊടാതെ ഒരു ഉപയോക്താവിനെ റദ്ദാക്കുക

ഉപയോക്തൃ ഐഡന്റിറ്റികൾ വെവ്വേറെ നൽകുന്നതിനാൽ അവ വെവ്വേറെ പിൻവലിക്കാനാകും. സർട്ടിഫിക്കറ്റ് അടിസ്ഥാനമാക്കിയ വിന്യാസം ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് റദ്ദാക്കി പുതുക്കിയ റദ്ദാക്കൽ പട്ടിക പ്രസിദ്ധീകരിക്കുന്നു; WireGuard വിന്യാസം സർവർ കോൺഫിഗറേഷനിൽ നിന്ന് പിയർ എൻട്രി നീക്കുന്നു. ഈ പ്രവർത്തനങ്ങളൊന്നും ഗേറ്റ്വേയുടെ സ്വന്തം കീ മാറ്റുന്നില്ല.

ഇഷ്യൂ റെക്കോർഡ് സൂക്ഷിക്കുക, അല്ലെങ്കിൽ ഏത് ഐഡന്റിറ്റി പിൻവലിക്കണം എന്ന് അറിയില്ല. സ്പ്രെഡ്ഷീറ്റ് മതി, അതിൽ വ്യക്തി, ഉപകരണം, സീരിയൽ നമ്പർ അല്ലെങ്കിൽ പൊതു കീ, തീയതി എന്നിവ ഉണ്ടെങ്കിൽ, അത് നിർമ്മിച്ച വ്യക്തി പോയതിന് ശേഷവും ആരെങ്കിലും അത് സൂക്ഷിച്ചാൽ.

താഴെയുള്ള കമാൻഡുകൾ ഒരു ക്ലയന്റ് സർട്ടിഫിക്കറ്റ് പരിശോധിച്ച് പിന്നീട് OpenSSL ശൈലിയിലുള്ള അതോറിറ്റി വഴി റദ്ദാക്കുന്നു, easy-rsa പൊതിയുന്നത് ഈ പ്രവാഹമാണ്:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

പുതിയ പട്ടിക ക്ലയന്റുകൾ പരിശോധിക്കുന്നിടത്ത് പ്രസിദ്ധീകരിക്കുക, അല്ലെങ്കിൽ റദ്ദാക്കൽ ഒന്നും മാറ്റാത്ത ഒരു ഫയലിലെ കുറിപ്പാണ്. നിങ്ങളുടെ ഗേറ്റ്വേ റദ്ദാക്കൽ പട്ടിക നോക്കാതെ ക്ലയന്റ് സർട്ടിഫിക്കറ്റുകൾ സ്വീകരിക്കുന്നുവെങ്കിൽ, റദ്ദാക്കൽ പ്രവർത്തിക്കുന്നു എന്ന് സൂചിപ്പിക്കാതെ അത് വ്യക്തമായി പറയുക.

ബാക്കപ്പുകൾ രഹസ്യങ്ങൾ പോലെ വേർതിരിച്ച് സൂക്ഷിക്കുക

പുനർനിർമ്മാണ ആർക്കൈവിൽ ഗേറ്റ്വേ കീയും CA വസ്തുവും നിയമാനുസൃതമായി ഉണ്ടാകും, കാരണം അവയില്ലാതെ പുനഃസ്ഥാപനത്തിന് സേവനം പുനർനിർമ്മിക്കാനാകില്ല. ക്ലയന്റ് സെറ്റപ്പ് പാക്കേജിൽ ഉണ്ടാകരുത്, രണ്ടും ഒരുമിച്ച് സൂക്ഷിക്കരുത്. ഓരോ ആർക്കൈവും ആർക്ക് സൂക്ഷിക്കാം എന്നതനുസരിച്ച് ലേബൽ ചെയ്യുക, നിർമ്മിച്ച തീയതി അനുസരിച്ചല്ല. ക്ഷീണിതനായ അഡ്മിനിസ്ട്രേറ്റർ രാത്രി രണ്ട് മണിക്ക് വായിക്കുന്നത് ആ ലേബലാണ്.

ഈ വ്യത്യാസം ഓരോന്നും ആർക്ക് എടുക്കാം എന്നതും നിർണ്ണയിക്കുന്നു. ഗേറ്റ്വേ കൈകാര്യം ചെയ്യൽ, ഉപയോക്തൃ ഐഡന്റിറ്റികൾ നൽകൽ, ബാക്കപ്പുകൾ വായിക്കൽ എന്നിവ മൂന്ന് വ്യത്യസ്ത അധികാരങ്ങളാണ്, ഒന്ന് വേണ്ടയാൾക്ക് മറ്റുള്ളവ യാന്ത്രികമായി വേണ്ടതില്ല. ആ അനുമതികൾ എഴുതി വയ്ക്കുക, പിന്നീട് നിങ്ങളുടെ സംഭരണം യഥാർത്ഥത്തിൽ അനുവദിക്കുന്നതുമായി അവ പരിശോധിക്കുക, കാരണം ഡയറക്ടറി പാരമ്പര്യം നയം ഉദ്ദേശിക്കുന്നതിലും കൂടുതൽ നിശബ്ദമായി നൽകുന്നു.