Uma identidade VPN por dispositivo: por que o compartilhamento quebra a remoção

Um perfil copiado para um notebook, um telefone e um tablet funciona bem até que um deles se perca. Nesse momento a escolha é interromper todos os dispositivos que compartilham a identidade ou deixar o acesso indesejado no lugar. As duas opções são piores do que os dez minutos que teriam sido necessários para emitir três identidades. O mecanismo não é complicado: um par VPN é um registro de autorização, e um registro por dispositivo é o que transforma a remoção em uma única ação precisa.

O que um perfil compartilhado compartilha

Copiar uma chave privada copia toda a autorização: a entrada do par, o endereço do túnel e as rotas e políticas ligadas a ela. O servidor não consegue distinguir as cópias, porque o protocolo identifica um par pela chave e não pelo dispositivo. Cada linha de log, cada limite e cada decisão de revogação valem para o grupo. Um perfil compartilhado, portanto, não é uma comodidade com um pequeno custo de segurança, é um único ponto de falha com vários dispositivos ligados a ele.

A mesma lógica vale para uma conta compartilhada que guarda um único certificado.

Provisione com o modelo de identidade que você tem

Uma implantação WireGuard pode autorizar chaves de par distintas, uma por dispositivo. Uma implantação baseada em certificados pode emitir certificados de cliente individuais da própria autoridade. Um sistema de contas pode combinar um usuário com registros de dispositivo separados, dependendo do produto. Use o processo de inscrição suportado pelo operador, porque gerar um novo segredo local não faz nada até que o par ou o gateway reconheçam a autorização correspondente.

O caminho suportado é também o que sobrevive à próxima atualização.

Inventário sem segredos

Mantenha o rótulo do dispositivo, o identificador público e o proprietário em um inventário que você possa pesquisar. Não copie chaves privadas para esse inventário, porque isso transforma uma lista de ativos em um depósito de credenciais.

Uma linha dizendo “Notebook da Ana, chave pública do par, emitida em 12 de março” já basta para agir.

A remoção é um procedimento, não um botão

Registre como desativar exatamente um dispositivo e se uma sessão ativa precisa de uma etapa de encerramento separada. Verifique a persistência, para que uma reinicialização ou um backup antigo de configuração não reintroduzam a autorização. Confirme que a remoção surtiu efeito tentando conectar a partir do dispositivo removido. Depois verifique se algo mais fazia referência a essa identidade, como uma sonda de monitoramento ou uma rota compartilhada.

A etapa que as pessoas pulam é a última, e é a única que prova a mudança.

Ordem de substituição

Emita o dispositivo novo primeiro, verifique-o contra o recurso de que ele precisa e depois aposente o antigo. A exceção é a exposição: se o dispositivo antigo puder estar nas mãos de outra pessoa, remova-o primeiro e aceite a interrupção.

De qualquer forma, revise as exportações salvas no hardware aposentado antes que ele saia do prédio.

O que as identidades separadas oferecem

Três coisas, e cada uma aparece durante um incidente:

• Revogar um dispositivo sem tocar nos outros.
• Atribuir uma conexão a um dispositivo, não a um grupo.
• Explicar uma falha sem coletar a atividade de todos.

A orientação do operador é a autoridade sobre o seu próprio modelo de provisionamento, seja chaves por par como no início rápido do WireGuard ou certificados individuais de uma autoridade local. Registros distintos são a diferença entre uma frota sobre a qual você consegue raciocinar e uma frota que você só consegue reiniciar.