Għaliex iċ-ċwievet tas-server u l-kredenzjali tal-utent jeħtieġu sidien separati

Iċ-ċavetta li tipprova li l-gateway tiegħek hija hija nnifisha u l-kredenzjali li tgħid li persuna tista' tingħaqad huma t-tnejn sigrieti, u hemm tispiċċa x-xebh. Waħda tidentifika servizz quddiem kull klijent; l-oħra tidentifika utent wieħed quddiem dak is-servizz. Li tħallathom jiffranka pass waqt l-iffissar u jiswa nofs jum waqt inċident, għax l-irkupru għal kull wieħed mhuwiex l-istess operazzjoni. Is-separazzjoni hija tedjanti biex tħejjiha u tinbiegħ meta taqbeżha.

Żewġ sigrieti, żewġ sidien differenti

Il-gateway iżżomm ċavetta privata jew ċertifikat li x-xogħol uniku tagħhom huwa li jippruvaw l-identità tiegħu waqt il-handshake. Il-klijenti jeħtieġu materjal pubbliku li jaqbel biex jivverifikawh, u qatt ma jeħtieġu n-nofs privat. Din l-asimetrija hija dik li tagħmel l-awtentikazzjoni tas-server possibbli mingħajr ma tagħti lil kull utent il-kapaċità li jimita s-server.

Il-materjal tal-utent imur fid-direzzjoni opposta. Ċavetta privata tal-klijent, ċertifikat tal-klijent jew password juru li lil din il-persuna jew apparat partikolari ngħatat aċċess. Huwa mistenni li jiġi distribwit, kopjat bejn apparati u fl-aħħar jiġi revokat.

WireGuard jagħmel is-separazzjoni ovvja għax kull parteċipant għandu par ċwievet: iċ-ċavetta privata tas-server tibqa' fuq is-server, u fajl ta' konfigurazzjoni li tagħti lill-utent fih iċ-ċavetta privata tiegħu stess flimkien maċ-ċavetta pubblika tas-server. Profil li fih iċ-ċavetta privata tas-server mhuwiex qasira, huwa kompromess li jistenna kondiviżjoni ta' fajl.

Tliet mistoqsijiet li jiddeċiedu s-separazzjoni

Staqsi min irid ikun jista' jaqra s-sigriet, x'jippermetti attakkant jagħmel żvelar, u jekk it-tiswija hijiex revoka waħda jew bini mill-ġdid tas-servizz.

Jekk utent jista' jaqrah u dan jipprova l-identità tal-gateway, it-tweġiba għat-tieni mistoqsija hija li l-attakkant jista' jimita s-server tiegħek quddiem kull klijent — l-agħar riżultat, għax il-klijenti huma mfassla biex jafdaw dik l-identità. Jekk jipprova biss utent wieħed, iż-żvelar jagħti lil dak l-utent aċċess għal pari wieħed, u r-revoka hija operazzjoni ta' rutina. Jekk hija ċavetta ta' awtorità ta' ċertifikazzjoni, iż-żvelar huwa agħar mit-tnejn, għax l-attakkant jista' joħloq identitajiet li fihom tafda kull punt tat-tmiem.

Dawn it-tliet tweġibiet jagħtu r-regola tal-ħażna: iċ-ċavetta CA tgħix offline jew f'sejf, iċ-ċavetta tal-gateway tgħix fuq il-gateway, u ċ-ċwievet tal-utenti jgħixu mal-utenti. Kull tqassim li jqiegħed it-tlieta f'direttorju wieħed għall-konvenjenza biddel deċiżjoni f'inċident.

X'jeħtieġ klijent fil-verità

Klijent jeħtieġ iċ-ċertifikat pubbliku jew iċ-ċavetta pubblika tal-pari, il-materjal CA jew il-marka tas-swaba li għandu jafda, iċ-ċavetta privata tiegħu stess u d-dettalji tal-punt tat-tmiem. Dik il-lista ma fiha xejn li jaqa' taħt l-identità privata tal-gateway.

Id-dokumentazzjoni hija fejn dan joħroġ. Gwida li tgħid ikkopja d-direttorju tas-server u ħassar dak li m'għandekx bżonn diġà għallmet il-mudell żbaljat, għax il-fajl li jibqa' wara l-pass tat-tħassir rari jiġi ċċekkjat minn xi ħadd.

Irrevoka utent wieħed mingħajr ma tmiss il-gateway

Għax l-identitajiet tal-utenti jinħarġu separatament, jistgħu jiġu rtirati separatament. Implimentazzjoni bbażata fuq iċ-ċertifikati tirrevoka ċ-ċertifikat tal-klijent u tippubblika lista ta' revoka aġġornata; implimentazzjoni WireGuard tneħħi l-entrata tal-pari mill-konfigurazzjoni tas-server. L-ebda waħda minn dawn l-operazzjonijiet ma tbiddel iċ-ċavetta tal-gateway stess.

Żomm ir-rekord tal-ħruġ, inkella ma tkunx taf liema identità għandha tiġi rtirata. Spreadsheet huwa biżżejjed, sakemm isemmi l-persuna, l-apparat, in-numru tas-serje jew iċ-ċavetta pubblika u d-data, u sakemm xi ħadd jamministrah wara li l-persuna li bnietu titlaq.

Il-kmandi hawn taħt jeżaminaw ċertifikat tal-klijent u mbagħad jirrevokawh permezz ta' awtorità fi stil OpenSSL, li hija l-fluss li tippakkja easy-rsa:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Ippubblika l-lista l-ġdida fejn il-klijenti jiċċekkjawha, inkella r-revoka hija nota f'fajl li ma tbiddel xejn. Jekk il-gateway tiegħek jaċċetta ċertifikati tal-klijent mingħajr ma jikkonsulta lista ta' revoka, għidha b'mod espliċitu minflok tissuġġerixxi li r-revoka taħdem.

Żomm il-backups separati daqs is-sigrieti

Arkivju ta' bini mill-ġdid legalment fih iċ-ċavetta tal-gateway u l-materjal CA, għax mingħajrhom restawr ma jistax jirriproduċi s-servizz. Pakkett ta' tħejjija tal-klijent m'għandux, u t-tnejn m'għandhomx jinżammu flimkien. Ittikketti kull arkivju skont min jista' jżommu, mhux skont id-data li għaliha sar. Dik it-tikketta hija dik li amministratur għajjien jaqra fit-tnejn ta' filgħodu.

Din id-distinzjoni tistabbilixxi wkoll min jista' jirkupra kull wieħed. L-amministrazzjoni tal-gateway, il-ħruġ ta' identitajiet tal-utent u l-qari ta' backups huma tliet poteri differenti, u min għandu bżonn wieħed mhux awtomatikament għandu bżonn l-oħrajn. Ikteb dawk il-permessi, imbagħad iċċekkjahom kontra dak li l-ħażna tiegħek attwalment tippermetti, għax is-suċċessjoni tad-direttorji tagħti bil-kwiet aktar milli biħsiebha l-politika.