VPN സ്വകാര്യ കീ എവിടെ ജീവിക്കണം: ഫയൽ, CNG അതോ TPM?

VPN സ്വകാര്യ കീ എവിടെയാണെന്ന് രണ്ട് ചോദ്യങ്ങൾ തീരുമാനിക്കുന്നു: കീ മെറ്റീരിയൽ ഹോസ്റ്റിൽ നിന്ന് പകർത്താനാകുമോ, ഒരു പ്രോസസ്സിന് കീബോർഡിൽ ആരുമില്ലാതെ അത് ഉപയോഗിക്കാനാകുമോ. ഒരു സംഭരണിയുടെ മാർക്കറ്റിംഗ് ലേബൽ രണ്ടിനും ഉത്തരം നൽകുന്നില്ല. പുനരാരംഭത്തിന് ശേഷം തിരികെ വരേണ്ട ടണൽ ഡീമണിന് മേൽനോട്ടമില്ലാത്ത ഉപയോഗം വേണം, ഇത് മനുഷ്യൻ ടൈപ്പ് ചെയ്യുന്ന PIN-നെ ആശ്രയിക്കുന്ന എല്ലാത്തിനെയും ഒഴിവാക്കുന്നു.

പകർപ്പും ഉപയോഗവും തമ്മിൽ തിരഞ്ഞെടുക്കുക

പകർപ്പെടുക്കലും ഉപയോഗവും വ്യത്യസ്ത രീതിയിൽ പരാജയപ്പെടുന്നു, അതിനാൽ അവയെ ഒന്നല്ല രണ്ട് ആവശ്യകതകളായി കാണുക. കീയുടെ ബൈറ്റുകൾ വായിക്കാനാകുന്ന ആക്രമണകാരി ഐഡന്റിറ്റി മറ്റൊരു ഹോസ്റ്റിലേക്ക് കൊണ്ടുപോകുന്നു, യഥാർത്ഥ യന്ത്രം അത് ശ്രദ്ധിക്കുന്നില്ല. ബൈറ്റുകൾ വായിക്കാനാകാത്തെങ്കിലും ഒപ്പിടൽ പ്രക്രിയിലെത്താനാകുന്ന ആക്രമണകാരി ആ പ്രവേശനം നിലനിൽക്കുന്നിടത്തോളം സാക്ഷ്യപ്പെടുത്തുന്നു.

ഫയലിലെ കീ എളുപ്പത്തിൽ പകർത്താവുന്നതാണ്, അതുകൊണ്ടാണ് അത് ബാക്കപ്പ് ചെയ്യാനും പുനഃസ്ഥാപിക്കാനും ഏറ്റവും എളുപ്പമുള്ളത്. സോഫ്റ്റ്‌വെയർ കീ സംഭരണി API മാറ്റുന്നു, അതിർത്തിയല്ല: ദാതാവ് സ്വന്തം കയറ്റുമതി കോളുകൾ നിരസിക്കുന്നു, പക്ഷേ കീ ഇൻസ്റ്റാൾ ചെയ്ത അതേ അഡ്മിനിസ്ട്രേറ്റർ സന്ദർഭത്തിന് മെറ്റീരിയലിലേക്ക് മറ്റ് വഴികൾ സാധാരണയായി ഉണ്ട്. സോഫ്റ്റ്‌വെയർ ദാതാവിൽ കയറ്റുമതി ചെയ്യാനാകാത്തത് പിന്തുണയ്ക്കുന്ന പ്രവർത്തനങ്ങളെക്കുറിച്ചുള്ള പ്രസ്താവനയാണ്, ഹാർഡ്‌വെയർ മതിലിന്റെ തെളിവല്ല. ഇത് ആകസ്മിക പകർപ്പിനെതിരായ വേഗനിയന്ത്രണമായി കാണുക, നിങ്ങളുടെ സെഷൻ ഇതിനകം ഉള്ള ഒരാളിൽ നിന്നുള്ള സംരക്ഷണമായി അല്ല.

TPM അല്ലെങ്കിൽ സ്മാർട്ട് കാർഡ് ഒപ്പിടൽ പ്രവർത്തനം ഹാർഡ്‌വെയറിനുള്ളിൽ നിർവഹിച്ച് ഫലം മാത്രം തിരികെ നൽകുന്നു. ഇത് പകർപ്പ് വഴി അടയ്ക്കുകയും ഉപയോഗ വഴി ഒപ്പം ആവശ്യപ്പെടാനാകുന്ന എല്ലാത്തിനും തുറന്നിടുകയും ചെയ്യുന്നു.

സംഭരണി ടണൽ ഡീമണുമായി ചേർക്കുക

ഡീമൺ ഇതിനെ സുരക്ഷാ നയത്തേക്കാൾ പരിമിതപ്പെടുത്തുന്നു. WireGuard ഫയലിൽ നിന്നോ wg set ഇൻപുട്ടിൽ നിന്നോ base64 സ്വകാര്യ കീ എടുക്കുന്നു, സർട്ടിഫിക്കറ്റ് സംഭരണിയിലേക്ക് വഴിയില്ല, അതിനാൽ TPM പിന്തുണയുള്ള ഇന്റർഫേസ് കീ പരിഗണനയിലില്ല. OpenSSL 3-നെതിരെ നിർമ്മിച്ച OpenVPN ദാതാവ് URI വഴി കീ ലോഡ് ചെയ്യാനാകും, strongSwan PKCS#11 പിന്തുണയ്ക്കൊപ്പം TPM പ്ലഗിൻ നൽകുന്നു, പക്ഷേ രണ്ടും നിങ്ങളുടെ പാക്കേജ് എങ്ങനെ കംപൈൽ ചെയ്തു എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു.

തിരഞ്ഞെടുത്ത സംഭരണിയിലെത്താനാകാത്ത ഡീമൺ ഹാർഡ്‌വെയർ അതിർത്തിയെ അലങ്കാരമാക്കുന്നു. ആരോ കീ ഒരിക്കൽ കയറ്റുമതി ചെയ്ത് ഫയലിൽ ഉപേക്ഷിക്കുന്നു, ബാക്കി രൂപകൽപ്പന ആ പകർപ്പിൽ നിശ്ശബ്ദമായി പ്രവർത്തിക്കുന്നു.

പുതുക്കൽ ചേർച്ചയുടെ മറ്റേ പകുതിയാണ്, ഇവിടെയാണ് മിക്ക രൂപകൽപ്പനകളും തകരുന്നത്. ആദ്യ രജിസ്ട്രേഷനിൽ പ്രവർത്തിക്കുന്നതും പക്ഷേ ഓരോ പുനഃപ്രകാശനത്തിനും കൺസോൾ ലോഗിൻ ആവശ്യപ്പെടുന്നതുമായ സംഭരണി, ഒരു സർട്ടിഫിക്കറ്റ് അസൌകര്യപ്രദമായ സമയത്ത് കാലഹരണപ്പെടുന്ന ആദ്യ അവസരത്തിൽ ഒഴിവാക്കപ്പെടുന്നു. നിലവിലെ കീയ്ക്ക് ഇനിയും മാസങ്ങളുള്ളപ്പോൾ പുനഃപ്രകാശന വഴി പരീക്ഷിക്കുക.

കീ മാറ്റുന്നതിന് മുമ്പ് പട്ടികയാക്കുക

കീ എന്താണെന്നും അത് എവിടെ ജീവിക്കുന്നുവെന്നും മാറ്റുന്നതിന് മുമ്പ് രേഖപ്പെടുത്തുക, കാരണം subject alternative names നഷ്ടപ്പെടുന്ന മാറ്റം ടണലിനെ റൂട്ടിംഗ് പിഴവായി വായിക്കുന്ന രീതിയിൽ തകർക്കുന്നു. സർട്ടിഫിക്കറ്റ് ഡംപ് ചെയ്യുക, സ്വകാര്യ കീ ഡീമൺ പ്രതീക്ഷിക്കുന്നിടത്ത് വായിക്കാനാകുന്നുവെന്ന് ഉറപ്പാക്കുക, ജോടി യഥാർത്ഥത്തിൽ ചേരുന്നുവെന്ന് പരിശോധിക്കുക.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

അവസാന രണ്ട് സംഗ്രഹങ്ങൾ ഒരേപോലെയായിരിക്കണം. അല്ലെങ്കിൽ ഡീമൺ ക്രമീകരണം പൂർത്തിയാക്കി പിന്നീട് ഓരോ ശ്രമത്തിലും സർട്ടിഫിക്കറ്റ് അല്ലെങ്കിൽ ഒപ്പ് പിശകിനാൽ പരാജയപ്പെടുന്നു, അത് യഥാർത്ഥ കാരണത്തിന് അടുത്തെങ്ങും സൂചിപ്പിക്കുന്നില്ല. WireGuard തുല്യമായത് ചെറുതാണ്, കാരണം പൊതു കീ നേരിട്ട് സ്വകാര്യത്തിൽ നിന്ന് ഉരുത്തിരിയുന്നു: wg pubkey < /etc/wireguard/wg0.key നിങ്ങളുടെ സെർവർ ഇതിനകം സൂക്ഷിക്കുന്ന സഹ കീ അച്ചടിക്കണം.

അനുമതികൾ അതേ പട്ടികയുടെ ഭാഗമാണ്. stat -c '%a %U:%G' /etc/wireguard/wg0.key 600 root:root തിരികെ നൽകണം, ഗ്രൂപ്പിനോ ലോകത്തിനോ വായിക്കാനാകുന്നത് കീ ഇതിനകം നിങ്ങൾ ഒരിക്കലും ഉദ്ദേശിക്കാത്ത പ്രോസസ്സുകൾക്ക് ലഭ്യമായിരുന്നു എന്നർത്ഥം.

സംഭരണിയും ഉപയോഗ വഴിയും പരിശോധിക്കുക

സ്ഥിരീകരണത്തിന് മൂന്ന് ഭാഗങ്ങളുണ്ട്, മൂന്നാമത്തേതാണ് ഒഴിവാക്കപ്പെടുന്നത്. കീ നിങ്ങൾ തിരഞ്ഞെടുത്ത സംഭരണിയിലുണ്ടെന്ന് ഉറപ്പാക്കുക, ഡീമൺ ആ കീ ലോഡ് ചെയ്തുവെന്ന് അവശേഷിച്ച പകർപ്പല്ലെന്ന് ഉറപ്പാക്കുക, പിന്നീട് കയറ്റുമതി കലാസൃഷ്ടി പോയതിന് ശേഷവും അത് ആരംഭിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

Windows-ൽ ആദ്യ കമാൻഡ് വ്യക്തിഗത സംഭരണി ലിസ്റ്റ് ചെയ്ത് ഓരോ എൻട്രിക്ക് അടുത്ത് കീ ദാതാവിനെ അച്ചടിക്കുന്നു, അവിടെയാണ് ഹാർഡ്‌വെയർ പിന്തുണയുള്ളതായി തോന്നുന്നതും എന്നാൽ സോഫ്റ്റ്‌വെയർ ദാതാവിൽ ഇരിക്കുന്നതുമായ സർട്ടിഫിക്കറ്റ് പ്രത്യക്ഷപ്പെടുന്നത്. രണ്ടാമത്തേത് പ്ലാറ്റ്‌ഫോം ക്രിപ്റ്റോ ദാതാവിന്റെ കൈവശമുള്ള കീകൾ ലിസ്റ്റ് ചെയ്യുന്നു, അതിനാൽ അവിടെ ഇല്ലാത്ത VPN ഐഡന്റിറ്റി അതിന്റെ സർട്ടിഫിക്കറ്റ് ഉള്ളപ്പോൾ, സ്വകാര്യ പകുതി മറ്റെവിടെയോ ജീവിക്കുന്നു എന്നർത്ഥം. Linux ഗേറ്റ്‌വേയിൽ ipsec listcerts strongSwan എന്ത് ലോഡ് ചെയ്തുവെന്ന്, TPM പ്ലഗിനിൽ നിന്ന് വന്ന കീകൾ ഉൾപ്പെടെ റിപ്പോർട്ട് ചെയ്യുന്നു. എൻട്രികളുടെ എണ്ണം വിശ്വസിക്കുന്നതിന് പകരം വിരലടയാളങ്ങളോ പൊതു കീ ഹാഷുകളോ പട്ടികയുമായി താരതമ്യം ചെയ്യുക.

നെഗറ്റീവ് പരീക്ഷണമാണ് രൂപകൽപ്പന തെളിയിക്കുന്നത്. കയറ്റുമതി ചെയ്ത കീ ഡീമണിന്റെ കോൺഫിഗറേഷൻ ഡയറക്ടറിയിൽ നിന്ന് പുറത്തേക്ക് മാറ്റുക, സേവനം പുനരാരംഭിക്കുക, ലോഗിൽ അത് ഏത് ഐഡന്റിറ്റി അവതരിപ്പിക്കുന്നുവെന്ന് വായിക്കുക. എങ്കിലും ഉയരുന്ന ടണൽ സംഭരണി ഉപയോഗിക്കുന്നു; പരാജയപ്പെട്ട തുടക്കം രൂപകൽപ്പന യഥാർത്ഥത്തിൽ ഒരു പകർപ്പിൽ ഓടിയിരുന്നു എന്നർത്ഥം.

പുതുക്കലും തിരിച്ചുവരവും എഴുതുക

തിരിച്ചുവരവ് രണ്ട് കുടുംബങ്ങൾക്കിടയിൽ കടുത്ത വ്യത്യാസമുണ്ട്, ആ വ്യത്യാസം ഡിസൈൻ കുറിപ്പിനുള്ളതാണ്, സംഭവ കോളിനല്ല. ഫയൽ കീ എൻക്രിപ്റ്റ് ചെയ്ത് ബാക്കപ്പ് ചെയ്ത് പുനഃസ്ഥാപിക്കാനാകും, അതിനാൽ പരാജയപ്പെട്ട മാറ്റം പഴയപടിയാക്കാം. കയറ്റുമതി ചെയ്യാനാകാത്ത കീ ബാക്കപ്പ് ചെയ്യാനേ കഴിയില്ല, ഇത് ഉപകരണം മരിക്കുമ്പോൾ പുനഃപ്രകാശനവും പുനഃരജിസ്ട്രേഷനും ഏക വീണ്ടെടുപ്പ് വഴിയാക്കുന്നു.

കാലഹരണം തടസ്സമാകുന്നതിന് മുമ്പ് പരിശോധിക്കുക: openssl x509 -in vpn.crt -noout -checkend 2592000 സർട്ടിഫിക്കറ്റ് മുപ്പത് ദിവസത്തിനുള്ളിൽ കാലഹരണപ്പെടുമ്പോൾ പൂജ്യമല്ലാത്ത കോഡോടെ അവസാനിക്കുന്നു, അതിനാൽ അത് നേരിട്ട് നിരീക്ഷണ പരിശോധനയിൽ ചേരുന്നു. ആ വരിയുടെ പ്രതിവാര പ്രവർത്തനം ആരും ആസൂത്രണം ചെയ്യാത്ത പുതുക്കൽ പിടിക്കുന്നു.

നീക്കം സെർവറിൽ സംഭവിക്കുന്നു: സഹയെ ഇല്ലാതാക്കുക അല്ലെങ്കിൽ ക്രമ നമ്പർ റദ്ദാക്കുക, പിന്നീട് ടണൽ പരാജയപ്പെടുന്നുവെന്ന് ഉറപ്പാക്കുക, കാരണം കാഷ് ചെയ്ത സെഷനുള്ള ക്ലയന്റ് പകുതി പൂർത്തിയായ റദ്ദാക്കൽ കുറച്ചുനേരം മറയ്ക്കാം. റദ്ദാക്കൽ CA ഡാറ്റാബേസിലേക്ക് മാത്രമല്ല, കേന്ദ്രീകരണത്തിന്റെ CRL അല്ലെങ്കിൽ OCSP വഴിയിലേക്കും എത്തണം. സർട്ടിഫിക്കറ്റ് പൊതു രേഖയാണ്, RFC 5280 പ്രൊഫൈൽ അത് എങ്ങനെ സാധൂകരിക്കുന്നു എന്ന് ഉൾക്കൊള്ളുന്നു; ആ സാധൂകരണത്തിൽ ഒന്നും ഭ്രമണത്തിന് മുമ്പ് പകർത്തിയ സ്വകാര്യ കീയെ സംരക്ഷിക്കുന്നില്ല.

തീരുമാനം ഒരിടത്ത് എഴുതുക: ഏത് സംഭരണി കീ സൂക്ഷിക്കുന്നു, ഏത് പ്രോസസ്സിന് ഉപയോഗിക്കാം, ആർക്ക് പുനഃപ്രകാശനം ചെയ്യാം, തിരിച്ചുവരവ് എന്താണ്. ആ ഖണ്ഡികയാണ് ഓഡിറ്റർമാർ ചോദിക്കുന്നത്, ജീവനക്കാരുടെ മാറ്റത്തെ അതിജീവിക്കുന്നതും.