VPN-ийн хувийн түлхүүр хаана байх ёстой вэ: файл, CNG эсвэл TPM?

Хоёр асуулт VPN-ийн хувийн түлхүүр хаана байхыг шийднэ: түлхүүрийн материал хостээс хуулагдах боломжтой эсэх, процессийг хэн ч гар дээр байхгүйгээр ашиглаж чадах эсэх. Агуулахын маркетингийн шошго хоёуланд нь хариулахгүй. Дахин ачаалсны дараа буцаж ирэх ёстой туннелийн демон хяналтгүй хэрэглээг шаарддаг бөгөөд энэ нь хүний оруулсан PIN-д холбогдсон бүхнийг үгүйсгэдэг.

Хуулах ба ашиглахын хооронд сонго

Хуулах ба ашиглах нь өөр өөрөөр бүтэлгүйтдэг тул тэдгээрийг нэг биш хоёр шаардлага гэж үзнэ үү. Түлхүүрийн байтуудыг уншиж чадах жагсагч таних тэмдгийг өөр хост руу зөөдөг бөгөөд анхны машин үүнийг анзаардаггүй. Байтуудыг уншиж чадахгүй ч гарын үсгийн процесст хүрч чадах жагсагч тэр нэвтрэлт үргэлжлэх хүртэл баталгаажуулалтад ордог.

Файл дахь түлхүүр амархан хуулагддаг тул нөөцлөх, сэргээхэд хамгийн хялбар. Програм хангамжийн түлхүүрийн агуулах хил хязгаарыг биш, API-г өөрчилдөг: нийлүүлэгч өөрийн экспортын дуудлагыг татгалздаг ч түлхүүрийг суулгасан ижил администраторын орчинд материал руу өөр замууд ихэвчлэн байдаг. Програм хангамжийн нийлүүлэгчид экспортлогдохгүй байх нь дэмжигдсэн үйлдлүүдийн тухай мэдэгдэл, техник хангамжийн хананы баталгаа биш. Үүнийг санамсаргүй хуулбарлалтын эсрэг хөнгөвчлөгч гэж үзээрэй, сесс тань аль хэдийн байгаа хэн нэгнээс хамгаалалт гэж биш.

TPM эсвэл ухаалаг карт гарын үсгийн үйлдлийг техник хангамжийн дотор гүйцэтгэж, зөвхөн үр дүнг буцаана. Энэ нь хуулах замыг хааж, ашиглах замыг гарын үсэг хүсч чадах бүхэнд нээлттэй үлдээдэг.

Агуулахыг туннелийн демонтой тааруул

Демон үүнийг аюулгүй байдлын бодлогоос илүү хязгаарладаг. WireGuard файл эсвэл wg set оролтоос base64 хувийн түлхүүр авдаг бөгөөд сертификатын агуулах руу замгүй тул TPM-д тулгуурласан интерфейсийн түлхүүр яриагүй. OpenSSL 3-ын эсрэг бүтээсэн OpenVPN түлхүүрийг нийлүүлэгчийн URI-аар ачаалж болно, strongSwan нь PKCS#11 дэмжлэгийн хажууд TPM залгаасыг нийлүүлдэг, гэхдээ хоёулаа таны багц хэрхэн эмхэтгэгдсэнээс хамаарна.

Сонгосон агуулах руу хүрч чадахгүй демон техник хангамжийн хилийг чимэглэл болгоно. Хэн нэгэн түлхүүрийг нэг удаа экспортлож, файлд үлдээдэг, төслийн бусад хэсэг тэр хуулбар дээр чимээгүй ажилладаг.

Шинэчлэлт нь тохирлын хоёр дахь хагас бөгөөд ихэнх төсөл яг энд нуран унадаг. Эхний бүртгэлд ажилладаг ч дахин олгох бүрт консолд нэвтрэх шаарддаг агуулахыг сертификат тохиромжгүй цагт дуусах эхний үед тойрч гардаг. Одоогийн түлхүүрт хэдэн сар үлдсэн байхад дахин олгох замыг туршина уу.

Түлхүүрийг зөөхөөс өмнө бүртгэ

Түлхүүр юу болохыг, хаана байхыг өөрчлөхөөс өмнө бичиж тэмдэглэ, учир нь subject alternative names-ыг алдсан шилжилт туннелийг маршрутын алдаа мэт уншигдахаар эвддэг. Сертификатыг гаргаж, хувийн түлхүүр демоны хүлээж буй газарт уншигдаж байгааг баталж, хос үнэхээр таарч байгаа эсэхийг шалга.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

Сүүлийн хоёр хураангуй ижил байх ёстой. Хэрэв тийм биш бол демон тохиргоог дуусгаад дараа нь оролдлого бүрт бодит шалтгаанд ойргүй сертификат эсвэл гарын үсгийн алдаатай бүтэлгүйтдэг. WireGuard-ийн эквивалент богино, учир нь нийтийн түлхүүр хувийнаас шууд гардаг: wg pubkey < /etc/wireguard/wg0.key сервер тань аль хэдийн хадгалсан хамтрагчийн түлхүүрийг хэвлэх ёстой.

Эрхүүд ижил бүртгэлд хамаарна. stat -c '%a %U:%G' /etc/wireguard/wg0.key 600 root:root буцаах ёстой бөгөөд бүлэг эсвэл дэлхийд уншигдах аливаа зүйл түлхүүр таны хэзээ ч төсөөлөөгүй процессуудад аль хэдийн нээлттэй байсныг илтгэнэ.

Агуулах, ашиглах замыг шалга

Шалгалт гурван хэсэгтэй бөгөөд гурав дахь нь алгасагддаг. Түлхүүр сонгосон агуулахад байгааг батал, демон тэр түлхүүрийг, үлдсэн хуулбарыг биш ачаалсан гэдгийг батал, дараа нь экспортын артефакт байхгүй үед ч ажиллаж байгааг батал.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

Windows дээр эхний команд хувийн агуулахыг жагсааж, бичлэг бүрийн хажууд түлхүүрийн нийлүүлэгчийг хэвлэдэг бөгөөд тэнд техник хангамжаар хамгаалагдсан мэт харагдах боловч програм хангамжийн нийлүүлэгчид сууж буй сертификат гарч ирдэг. Хоёр дахь нь платформын крипто нийлүүлэгчийн эзэмшдэг түлхүүрүүдийг жагсаадаг тул сертификат нь байхад тэнд байхгүй VPN таних тэмдэг нь хувийн хагас өөр газар амьдарч байгааг илтгэнэ. Linux гарцад ipsec listcerts strongSwan юу ачаалсныг, TPM залгаасаас ирсэн түлхүүрүүдийг оруулан мэдээлдэг. Бичлэгийн тоонд итгэхийн оронд хурууны хээ эсвэл нийтийн түлхүүрийн хэшийг бүртгэлтэй харьцуул.

Сөрөг тест бол төслийг баталдаг тест юм. Экспортолсон түлхүүрийг демоны тохиргооны хавтаснаас гадагш зөөж, үйлчилгээг дахин эхлүүлээд логт ямар таних тэмдэг танилцуулж байгааг унш. Ямар ч байсан босдог туннель агуулахыг ашигладаг; бүтэлгүй эхлэл төсөл үнэхээр хуулбар дээр ажиллаж байсныг илтгэнэ.

Шинэчлэлт, буцаахыг бич

Буцаах нь хоёр гэр бүлийн хооронд эрс ялгаатай бөгөөд энэ ялгаа нь төслийн тэмдэглэлд хамаарна, ослын дуудлагад биш. Файл дахь түлхүүрийг шифрлэж нөөцөлж, сэргээж болох тул бүтэлгүй шилжилт буцаагдана. Экспортлох боломжгүй түлхүүрийг огт нөөцлөх боломжгүй бөгөөд энэ нь төхөөрөмж үхэхэд дахин олгох, дахин бүртгүүлэхийг цорын ганц сэргээх зам болгоно.

Хугацаа дуусахыг тасалдал болохоос өмнө шалга: openssl x509 -in vpn.crt -noout -checkend 2592000 сертификат гуч хоногийн дотор дуусахад тэгээс ялгаатай кодоор төгсдөг тул хяналтын шалгалтад шууд орно. Энэ мөрийг долоо хоног бүр ажиллуулах нь хэн ч төлөвлөөгүй шинэчлэлтийг барина.

Устгах нь сервер дээр болно: хамтрагчийг устга эсвэл серийн дугаарыг хүчингүй болго, дараа нь туннель бүтэлгүйтэж байгааг батал, учир нь кэшлэсэн сесс бүхий клиент хагас гүйцэтгэсэн хүчингүй болгохыг хэсэг хугацаанд нууж чадна. Хүчингүй болгох нь зөвхөн CA-ийн мэдээллийн санд биш, концентраторын CRL эсвэл OCSP замд хүрэх ёстой. Сертификат нь нийтийн баримт бөгөөд RFC 5280 профайл түүнийг хэрхэн баталгаажуулахыг хамардаг; тэр баталгаажуулалтын аль ч хэсэг нь ротациас өмнө хуулагдсан хувийн түлхүүрийг хамгаалдаггүй.

Шийдвэрийг нэг газар бич: аль агуулах түлхүүрийг хадгалж, аль процесс ашиглаж болох, хэн дахин олгож болох, буцаах нь юу вэ. Аудиторуудын асуудаг догол мөр нь тэр, орон тооны өөрчлөлтийг даван туулах нь тэр.