प्रति यन्त्र एक प्रमाणपत्रले कुञ्जीलाई यन्त्रसँग बाँध्दैन
प्रति यन्त्र प्रमाणपत्र एक प्रशासनिक छनोट हो, यन्त्रसँगको बाँधाइ होइन। बाँधाइ केले निर्धारण गर्छ भने निजी कुञ्जी कहाँ रहन्छ, प्रतिलिपि गर्न मिल्ने फाइलदेखि TPM सम्म।
तपाईं हरेक ल्यापटपका लागि छुट्टै प्रमाणपत्र जारी गर्नुहुन्छ, त्यसैले VPN ले तिनीहरूलाई छुट्याउन सक्छ भनी मान्नुहुन्छ। सक्दैन। क्लाइन्ट प्रमाणपत्रले जोडिने व्यक्तिसँग मिल्ने निजी कुञ्जी छ भनी प्रमाणित गर्छ, र प्रतिलिपि गरिएको प्रोफाइलमा पनि त्यो हुन्छ।
प्रति यन्त्र प्रमाणपत्र अझै राम्रो विचार हो। यसले अधिकांश मानिसले अपेक्षा गरेभन्दा फरक काम गर्छ।
क्लाइन्ट प्रमाणपत्रले वास्तवमा के प्रमाणित गर्छ
ह्यान्डसेकका बेला क्लाइन्टले आफ्नो प्रमाणपत्रसँग मिल्ने निजी कुञ्जीले हस्ताक्षर गर्छ, र सर्भरले त्यो हस्ताक्षर आफूले विश्वास गर्ने CA विरुद्ध जाँच्छ। त्यो आदानप्रदानमा मेसिनको कुनै वर्णन छैन। प्रमाणपत्र र कुञ्जी दुवै भएको जुनसुकै यन्त्रले एउटै हस्ताक्षर बनाउँछ, त्यसैले दोस्रो ल्यापटपमा प्रतिलिपि गरिएको प्रोफाइल ठ्याक्कै मूल जस्तै देखिन्छ। प्रमाणपत्रले पहिचानको नाम दिन्छ; हार्डवेयरको नाम दिँदैन।
प्रति यन्त्र अद्वितीयता अझै उपयोगी छ, किनकि यसले रद्द गर्ने कामलाई सटीक बनाउँछ। यो प्रशासनिक गुण हो, प्राविधिक ताल्चा होइन।
कुञ्जी भण्डारणका तीन तह
पहिलो तह डिस्कमा रहेको कुञ्जी फाइल हो। यो डिजाइनले नै बोक्न मिल्ने छ, र अधिकांश OpenVPN प्रोफाइल त्यहीँ बस्छन्।
दोस्रो तह त्यस्तो कुञ्जी हो जसलाई अपरेटिङ सिस्टमले निर्यात-अयोग्य भनी चिन्ह लगाउँछ। Windows ले आफ्नो प्रमाणपत्र भण्डारमा यन्त्र कुञ्जी बनाउन र सामान्य निर्यात अस्वीकार गर्न सक्छ, जसले आकस्मिक प्रतिलिपि रोक्छ। यो हार्डवेयर-समर्थित छैन, र मेसिनमा पर्याप्त पहुँच भएमा त्यस्ता कुञ्जी फिर्ता ल्याउन सकिन्छ, त्यसैले यसले पर्खाल बनाउनुको सट्टा श्रम बढाउँछ।
तेस्रो तह सुरक्षा हार्डवेयरभित्र बनाइने कुञ्जी हो: TPM, स्मार्ट कार्ड, SIM वा PIV टोकन। ती मोड्युलमा आफूले बनाएको कुञ्जी निर्यात गर्ने परिपथ हुँदैन, र हस्ताक्षर मोड्युलभित्रै हुन्छ। कुञ्जी कहिल्यै कसैले प्रतिलिपि गर्न सक्ने फाइल बन्दैन।
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
त्यो तालिका तीन पङ्क्तिमा सम्पूर्ण तर्क हो।
easy-rsa ले के गर्न सक्छ र के गर्न सक्दैन
प्रति यन्त्र प्रमाणपत्र जारी गर्न सजिलो छ। एउटै CA विरुद्ध हरेक यन्त्रका लागि छुट्टै साझा नाम बनाउनुहोस्, उदाहरणका लागि ./easyrsa build-client-full laptop-a nopass, र हरेक यन्त्रका लागि दोहोर्याउनुहोस्। कुन साझा नाम कुन व्यक्ति र मेसिनको हो लेख्नुहोस्।
रद्द गर्ने पनि त्यत्तिकै सीधा छ: ./easyrsa revoke laptop-a, ./easyrsa gen-crl ले CRL पुनः बनाउनुहोस्, र सर्भरले साँच्चै crl-verify मार्फत त्यो पढ्छ भनी सुनिश्चित गर्नुहोस्।
CA ले गर्न नसक्ने कुरा हो पछि निजी कुञ्जी कहाँ छ भनी प्रमाणित गर्नु। तपाईंले CA होस्टमा कुञ्जी बनाएर यन्त्रमा प्रतिलिपि गर्नुभयो भने जारी गर्दा नै दोस्रो प्रति बनाउनुभयो। निर्यात-अयोग्य कुञ्जी यन्त्रमै बनाउनुपर्छ, वा त्यो नछोड्ने हार्डवेयरमा आयात गर्नुपर्छ।
प्रतिलिपि गरिएको प्रोफाइलमा टिक्ने नियन्त्रण
प्रोफाइलको प्रतिलिपि हुन सक्छ भनी मान्नुहोस् र त्यसैअनुसार डिजाइन गर्नुहोस्। खातालाई दोस्रो कारकसँग बाँध्नुहोस् ताकि प्रमाणपत्र मात्र पर्याप्त नहोस्। हरेक यन्त्रलाई आफ्नै नीति दिनुहोस् ताकि एउटा पहिचानको पहुँच सीमित रहोस्। र त्यही साझा नाम एकैसाथ दुई ठेगानाबाट जोडिएको छ कि हेर्नुहोस्, किनकि जडान लगमा साझा प्रोफाइल त्यस्तै देखिन्छ।
छिटो र अभिलेखित रद्द गर्ने नै त्यो नियन्त्रण हो जुन प्रतिलिपि भइसकेपछि पनि काम गर्छ। बाँकी सबै रोकथाम हो।
सर्भरले साँच्चै भर पर्न सक्ने दाबी
अद्वितीयता CA बाट आउँछ। यन्त्रसँगको बाँधाइ कुञ्जी भण्डारणबाट आउँछ। आफ्नो कुञ्जी निर्यात गर्न नसक्ने हार्डवेयरले मात्र प्रति यन्त्र एक प्रमाणपत्रलाई सबैले मान्ने नीतिको सट्टा सर्भरले लागू गर्ने दाबीमा बदल्छ।