د هرې وسیلې لپاره یو سند کیلي له وسیلې سره نه تړي
د هرې وسیلې لپاره سند یو اداري انتخاب دی، نه له وسیلې سره تړل۔ تړل هغه څه ټاکي چې شخصي کیلي چېرته ده، له کاپي کېدونکي فایل څخه تر TPM پورې۔
تاسو د هر لپ ټاپ لپاره جلا سند صادروئ، نو فکر کوئ چې VPN کولی شي هغه سره توپیر کړي۔ نشي کولی۔ د کلینټ سند ثابتوي چې څوک نښلوي هغه سره ورته شخصي کیلي ده، او کاپي شوی پروفایل هم هغه لري۔
د هرې وسیلې لپاره سند لا هم ښه فکر دی۔ یوازې هغه کار کوي چې ډېری خلک یې تمه نه لري۔
د کلینټ سند په واقعیت کې څه ثابتوي
د لاس ورکولو پر مهال کلینټ د خپل سند سره سمه شخصي کیلي سره لاسلیک کوي، او سرور هغه لاسلیک د هغې CA پر وړاندې تصدیقوي چې باور پرې لري۔ په دې تبادله کې هیڅ شی ماشین نه توصیفوي۔ هر هغه وسیله چې سند او کیلي دواړه ولري ورته لاسلیک جوړوي، نو هغه پروفایل چې دویم لپ ټاپ ته کاپي شوی بالکل د اصلي په څېر ښکاري۔ سند یو هویت نوموي؛ سخت افزار نه نوموي۔
د هرې وسیلې لپاره ځانګړتیا لا هم ارزښت لري، ځکه لغوه کول دقیقوي۔ دا اداري ځانګړنه ده، نه تخنیکي قفل۔
د کیلي ساتلو درې کچې
لومړۍ کچه په ډیسک کې د کیلي فایل دی۔ دا په ډیزاین کې وړونکی دی، او ډېری OpenVPN پروفایل هلته دي۔
دویمه کچه هغه کیلي ده چې عملیاتي سیستم یې د نه صادرېدو وړ په توګه نښه کوي۔ Windows کولی شي په خپل سند ذخیره کې د وسیلې کیلي جوړه کړي او عادي صادرېدل رد کړي، چې ناڅاپي کاپي بندوي۔ دا د سخت افزار ملاتړ نه لري، او د ماشین ته کافي لاسرسي سره داسې کیلي بیا راګرځول کېدای شي، نو د دیوال جوړولو پر ځای هڅه زیاتوي۔
درېیمه کچه هغه کیلي ده چې د امنیتي سخت افزار په داخل کې جوړېږي: TPM، سمارټ کارت، SIM یا PIV ټوکن۔ دغه ماډلونه د خپل جوړ شوي کیلي صادرولو لپاره سرکټ نه لري، او لاسلیک د ماډل په داخل کې کېږي۔ کیلي هېڅکله داسې فایل نه شي چې څوک یې کاپي کړای شي۔
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
هغه جدول په درېیو کرښو کې ټوله استدلال دی۔
easy-rsa څه کولی شي او څه نشي کولی
د هرې وسیلې لپاره سند صادرول ساده دي۔ د هماغې CA پر وړاندې د هرې وسیلې لپاره جلا عام نوم جوړ کړئ، لکه ./easyrsa build-client-full laptop-a nopass، او د هرې وسیلې لپاره یې تکرار کړئ۔ ولیکئ چې کوم عام نوم د کوم کس او ماشین دی۔
لغوه کول هم هماغسې مستقیم دي: ./easyrsa revoke laptop-a، CRL د ./easyrsa gen-crl سره بیا جوړ کړئ، او ډاډ ترلاسه کړئ چې سرور یې رښتیا د crl-verify له لارې لولي۔
CA څه نشي کولی دا تصدیقول دي چې شخصي کیلي وروسته چېرته ده۔ که کیلي د CA کوربه کې جوړه کړئ او وسیلې ته یې کاپي کړئ، د صادرولو پر مهال مو دویمه کاپي جوړه کړه۔ نه صادرېدونکې کیلي باید په وسیله کې جوړه شي، یا په داسې سخت افزار کې دننه شي چې هغه نه پرېږدي۔
هغه کنټرولونه چې کاپي شوي پروفایل ته دوام ورکوي
فرض کړئ چې پروفایل کاپي کېدای شي او پر هماغه اساس ډیزاین کړئ۔ حساب دویم فاکتور ته وتړئ تر څو یوازې سند بس نه وي۔ هرې وسیلې خپله پالیسي ورکړئ تر څو د یو هویت رسېدنه محدوده پاتې شي۔ او هماغه عام نوم وګورئ چې یو وخت له دوو پتو نښلوي، ځکه په نښلون ثبت کې شریک پروفایل همداسې ښکاري۔
چټک او مستند لغوه کول هغه کنټرول دی چې د کاپي کېدو وروسته هم کار کوي۔ نور ټول مخنیوی دی۔
هغه ادعا چې سرور رښتیا پرې تکیه کولی شي
ځانګړتیا له CA څخه راځي۔ له وسیلې سره تړل د کیلي ساتلو څخه راځي۔ یوازې هغه سخت افزار چې خپله کیلي نشي صادرولی، د هرې وسیلې لپاره یو سند په داسې ادعا بدلوي چې سرور یې پلي کوي، نه په هغه پالیسي چې ټول یې مني۔