د VPN شخصي کیلي باید چېرته اوسي: فایل، CNG یا TPM؟

دوه پوښتنې ټاکي چې د VPN شخصي کیلي چېرته اړه لري: آیا د کیلي مواد له کوربه څخه کاپي کېدای شي، او آیا یو بهیر کولای شي هغه پرته له کوم چې د کیبورډ شاته وي وکاروي. د زېرمې بازارموندنه دواړو ته ځواب نه وایي. د تونل ډیمون چې باید د بیا پیل وروسته بېرته راشي بې څارنې کارونې ته اړتیا لري، او دا هر هغه څه ردوي چې د انسان لخوا ټایپ شوي PIN پورې تړلي وي.

د کاپي او کارونې ترمنځ انتخاب وکړئ

کاپي او کارونه په بېلو لارو ناکامېږي، نو دوی دوه اړتیاوې وګڼئ نه یوه. هغه بریدګر چې د کیلي بایټونه لوستلای شي هویت بل کوربه ته وړي، او اصلي ماشین پوه نه شي. هغه بریدګر چې بایټونه نه شي لوستلای خو د لاسلیک بهیر ته رسېدلای شي، تر هغې چې دا لاسرسی دوام وکړي تصدیق کوي.

په فایل کې کیلي په اسانه کاپي کېږي، نو ځکه یې بیک اپ او بحالي هم تر ټولو اسانه ده. د سافټویر کیلي زېرمه API بدلوي نه پوله: عرضه کوونکی خپلې صادراتي غوښتنې ردوي، خو هغه همدغه مدیر چاپېریال چې کیلي یې نصب کړې معمولاً موادو ته نورې لارې لري. په سافټویر عرضه کوونکي کې غیر صادرېدونکی کېدل د ملاتړ شوو عملیاتو په اړه بیان دی، د سخت افزار دېوال ثبوت نه. دا د ناڅاپي کاپي پر وړاندې خنډ وګڼئ، نه د هغه چا پر وړاندې ساتنه چې ستاسو ناسته لا دمخه لري.

TPM یا سمارټ کارت د لاسلیک عملیات د سخت افزار دننه ترسره کوي او یوازې نتیجه بېرته ورکوي. دا د کاپي لاره بندوي او د کارونې لاره هر هغه څه ته پرانیستې پرېږدي چې لاسلیک غوښتنه کولای شي.

زېرمه د تونل ډیمون سره سمه کړئ

ډیمون دا د امنیتي تګلارې څخه ډېر محدودوي. WireGuard له فایل یا wg set ننوتنې څخه base64 شخصي کیلي اخلي او د سند زېرمې ته لاره نه لري، نو د TPM ملاتړ لرونکې انټرفیس کیلي خبره نه ده. د OpenSSL 3 پر وړاندې جوړ شوی OpenVPN کیلي د عرضه کوونکي URI له لارې لوډولای شي، او strongSwan د PKCS#11 ملاتړ ترڅنګ TPM پلگ ان وړاندې کوي، خو دواړه په دې پورې تړلي چې ستاسو بسته څنګه کمپایل شوې.

هغه ډیمون چې ټاکل شوې زېرمې ته نه رسېږي د سخت افزار پوله ښکلا ته اړوي. یو څوک کیلي یو ځل صادروي، په فایل کې پرېږدي، او د ډیزاین پاتې برخه په خاموشۍ هماغه کاپي باندې چلېږي.

تجدید د جوړجاړي بله نیمه ده، او همدلته ډېری ډیزاینونه ټوټه ټوټه کېږي. هغه زېرمه چې په لومړي ثبت کې کار کوي خو د هر بیا صادرولو لپاره کنسول ننوتل غواړي، لومړی ځل چې سند په ناوړه ساعت کې پای ومومي، له پامه غورځول کېږي. د بیا صادرولو لاره هغه وخت وازموئ چې اوسنۍ کیلي لا میاشتې لري.

کیلي له لېږد دمخه فهرست کړئ

کیلي څه ده او چېرته اوسي، د بدلولو څخه دمخه یې ولیکئ، ځکه هغه لېږد چې subject alternative names له لاسه ورکوي تونل په داسې ډول ماتوي چې د لارې غلطي په توګه لوستل کېږي. سند وباسئ، تایید کړئ چې شخصي کیلي هغه ځای کې لوستل کېږي چې ډیمون یې تمه لري، او وګورئ چې جوړه واقعاً سره سمون لري.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

وروستي دوه لنډیزونه باید یو شان وي. که نه وي، ډیمون ترتیب بشپړوي او بیا په هر هڅه کې د سند یا لاسلیک په غلطي ناکامېږي چې هېچېرته د اصلي لامل نږدې نه اشاره کوي. د WireGuard معادل لنډ دی، ځکه عامه کیلي مستقیم له شخصي څخه اخېستل کېږي: wg pubkey < /etc/wireguard/wg0.key باید هغه همکاره کیلي چاپ کړي چې ستاسو سرور لا دمخه ساتي.

اجازې همدغه فهرست ته اړه لري. stat -c '%a %U:%G' /etc/wireguard/wg0.key باید 600 root:root بېرته راوګرځوي، او هر هغه څه چې ډلې یا نړۍ ته لوستل کېږي مانا دا ده چې کیلي لا دمخه هغو بهیرونو ته چمتو وه چې تاسو هېڅکله یې تصور نه و کړی.

زېرمه او د کارونې لاره وګورئ

تصدیق درې برخې لري، او درېیمه هغه ده چې پرېښودل کېږي. تایید کړئ چې کیلي په ټاکل شوې زېرمه کې شته، تایید کړئ چې ډیمون هماغه کیلي لوډ کړې نه پاتې کاپي، او بیا تایید کړئ چې د صادراتو اثر له منځه تللو وروسته هم پیلېږي.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

په Windows کې لومړی کمانډ شخصي زېرمه لیستوي او د هر اندراج ترڅنګ د کیلي عرضه کوونکی چاپوي، او هلته هغه سند راښکاره کېږي چې سخت افزار ملاتړی ښکاري خو په سافټویر عرضه کوونکي کې ناست دی. دویم د پلیټفارم کرپټو عرضه کوونکي کیلي ګانې لیستوي، نو هغه VPN هویت چې هلته نه وي خو سند یې موجود وي مانا دا ده چې شخصي نیمه بل ځای اوسي. په Linux ګېټوې کې ipsec listcerts راپور ورکوي چې strongSwan څه لوډ کړل، په شمول د TPM پلگ ان څخه راغلې کیلي ګانې. د اندراجونو شمېر ته د باور پر ځای ګوتې نښې یا عامه کیلي هشونه د فهرست سره پرتله کړئ.

منفي ازموینه هغه ده چې ډیزاین ثبوتوي. صادرېدلې کیلي د ډیمون د ترتیباتو له فولډر څخه بهر یوسئ، خدمت بیا پیل کړئ او په لاګ کې ولولئ چې کوم هویت وړاندې کوي. هغه تونل چې بیا هم پورته شي زېرمه کاروي؛ ناکام پیل مانا دا ده چې ډیزاین واقعاً پر یوه کاپي چلېده.

تجدید او بېرته راګرځېدل ولیکئ

بېرته راګرځېدل په دوه کورنیو کې سخت توپیر لري، او دا توپیر د ډیزاین یادښت اړه لري نه د پېښې تلیفون. د فایل کیلي په کوډ شوي ډول بیک اپ او بحالي کېدای شي، نو ناکام لېږد بېرته ګرځېدونکی دی. غیر صادرېدونکې کیلي هېڅکله بیک اپ کېدای نه شي، او دا د وسیلې مړینې پر مهال بیا صادرول او بیا ثبتول یوازینۍ د بحالي لاره ګرځوي.

د پای نیټه له مداخلې دمخه وګورئ: openssl x509 -in vpn.crt -noout -checkend 2592000 د غیر صفر کوډ سره پای مومي کله چې سند په دېرشو ورځو کې پای ومومي، نو مستقیم څارنې ازموینې ته ځای پرځای کېږي. د دې کرښې اونیز اجرا هغه تجدید نیسي چې چا پلان نه و کړی.

لرې کول په سرور کې کېږي: همکاره حذف کړئ یا سیریل نمبر لغوه کړئ، بیا تایید کړئ چې تونل ناکامېږي، ځکه د کیش شوې ناستې لرونکی کلاینټ کولای شي نیمګړې لغوه کول یو څه وخت پټ کړي. لغوه کول باید د CA ډیټابیس یوازې نه، بلکې د کنسنټریټر CRL یا OCSP لارې ته هم ورسېږي. سند عامه سند دی، او RFC 5280 پروفایل تشریح کوي چې څنګه تصدیق کېږي؛ په دې تصدیق کې هېڅ شی له گردش دمخه کاپي شوې شخصي کیلي نه ساتي.

پرېکړه په یو ځای ولیکئ: کومه زېرمه کیلي ساتي، کوم بهیر یې کارولای شي، څوک یې بیا صادرولای شي او بېرته راګرځېدل څه دي. هماغه پراګراف دی چې پلټونکي یې پوښتي، او هماغه دی چې د کارکوونکو بدلون ته له منځه نه ځي.