Ċertifikat wieħed għal kull apparat ma jagħmilx iċ-ċavetta marbuta mal-apparat
Ċertifikat għal kull apparat hija għażla amministrattiva, mhux rabta mal-apparat. Dak li jiddetermina r-rabta huwa fejn tinżamm iċ-ċavetta privata, minn fajl li jista’ jiġi kkupjat sa TPM.
Inti toħroġ ċertifikat separat għal kull laptop, għalhekk tassumi li l-VPN jista’ jiddistingwihom. Ma jistax. Ċertifikat tal-klijent jipprova li min jgħaqqad għandu ċ-ċavetta privata li taqbel, u profil ikkupjat għandu wkoll.
Iċ-ċertifikat għal kull apparat għadu idea tajba. Huwa biss jagħmel xogħol differenti minn dak li jistennew ħafna nies.
X’jipprova ċertifikat tal-klijent fil-fatt
Matul il-handshake il-klijent jiffirma biċ-ċavetta privata li taqbel maċ-ċertifikat tiegħu, u s-server jivverifika dik il-firma kontra l-CA li jafda. Xejn f’dak l-iskambju ma jiddeskrivi l-magna. Kwalunkwe apparat li jżomm kemm iċ-ċertifikat kif ukoll iċ-ċavetta jipproduċi firma identika, għalhekk profil ikkupjat għal laptop ieħor jidher eżattament bħall-oriġinal. Iċ-ċertifikat isemmi identità; ma jismemmix il-hardware.
L-uniċità għal kull apparat għadha tiswa, għax tagħmel ir-revoka preċiża. Hija proprjetà amministrattiva, mhux serratura teknika.
Tliet livelli ta’ ħażna taċ-ċavetta
L-ewwel livell huwa fajl taċ-ċavetta fuq id-diska. Huwa portabbli fid-disinn, u hemm jgħixu ħafna mill-profili tal-OpenVPN.
It-tieni livell hija ċavetta li s-sistema operattiva timmarka bħala mhux esportabbli. Windows jista’ jiġġenera ċavetta tal-apparat fil-maħżen taċ-ċertifikati tiegħu u jirrifjuta l-esportazzjoni ordinarja, li twaqqaf il-kopja każwali. Mhix sostnuta mill-hardware, u b’aċċess suffiċjenti għall-magna dawn iċ-ċwievet jistgħu jiġu rkuprati, għalhekk iżżid l-isforz minflok tibni ħajt.
It-tielet livell hija ċavetta ġġenerata ġewwa hardware tas-sigurtà: TPM, karta intelliġenti, SIM jew token PIV. Dawk il-moduli m’għandhomx iċ-ċirkwiti biex jesportaw iċ-ċavetta li ġġeneraw, u l-firma ssir ġewwa l-modulu. Iċ-ċavetta qatt ma ssir fajl li xi ħadd jista’ jikkupja.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Dik it-tabella hija l-argument kollu fi tliet ringieli.
X’tista’ u x’ma tistax tagħmel easy-rsa
Li toħroġ ċertifikati għal kull apparat huwa sempliċi. Oħloq isem komuni differenti għal kull apparat kontra l-istess CA, pereżempju ./easyrsa build-client-full laptop-a nopass, u erġa’ għamilha għal kull apparat. Innota liema isem komuni jappartjeni lil liema persuna u magna.
Ir-revoka hija daqstant diretta: ./easyrsa revoke laptop-a, erġa’ ġġenera l-CRL b’./easyrsa gen-crl, u kun żgur li s-server tassew jaqrah permezz ta’ crl-verify.
Dak li l-CA ma tistax tagħmel huwa li tivverifika fejn tinżamm iċ-ċavetta privata wara. Jekk tiġġenera ċ-ċavetta fuq il-host tal-CA u tikkupjaha għall-apparat, ħloqt it-tieni kopja mal-ħruġ. Ċavetta mhux esportabbli trid tiġi ġġenerata fuq l-apparat, jew impurtata fi hardware li ma jerħihiex.
Kontrolli li jifilħu profil ikkupjat
Assumi li l-profil jista’ jiġi kkupjat u iddisinja għal dan. Rabat il-kont ma’ fattur ieħor biex ċertifikat waħdu ma jkunx biżżejjed. Agħti lil kull apparat il-politika tiegħu biex il-firxa ta’ identità waħda tibqa’ limitata. U oqgħod attent għall-istess isem komuni mqabbad minn żewġ indirizzi f’daqqa, għax hekk jidher profil kondiviż f’log tal-konnessjonijiet.
Revoka mgħaġġla u dokumentata hija l-kontroll li għadu jaħdem wara li tkun saret kopja. Kollox ieħor huwa prevenzjoni.
L-allegazzjoni li s-server tassew jista’ jiddependi fuqha
L-uniċità ġejja mill-CA. Ir-rabta mal-apparat ġejja mill-ħażna taċ-ċavetta. Huma biss il-hardware li ma jistax jesporta ċ-ċavetta tiegħu li jibdlu ċertifikat wieħed għal kull apparat fi stqarrija li s-server jinfurza, minflok f’politika li kulħadd jaqbel li jsegwi.