O identitate VPN pentru fiecare dispozitiv: de ce partajarea strică eliminarea

Un profil copiat pe un laptop, un telefon și o tabletă funcționează bine până când unul dintre ele se pierde. În acel moment alegerea este să întrerupi fiecare dispozitiv care partajează identitatea sau să lași accesul nedorit pe loc. Ambele opțiuni sunt mai rele decât cele zece minute care ar fi fost necesare pentru a emite trei identități. Mecanismul nu este complicat: un peer VPN este o înregistrare de autorizare, iar o înregistrare pe dispozitiv este ceea ce transformă eliminarea într-o singură acțiune precisă.

Ce partajează un profil partajat

Copierea unei chei private copiază întreaga autorizare: intrarea peer-ului, adresa tunelului și toate rutele și politicile atașate de ea. Serverul nu poate distinge copiile, pentru că protocolul identifică un peer după cheie, nu după dispozitiv. Fiecare linie de jurnal, fiecare limită și fiecare decizie de revocare se aplică grupului. Așadar un profil partajat nu este o comoditate cu un cost mic de securitate, ci un singur punct de eșec cu mai multe dispozitive.

Aceeași logică se aplică unui cont partajat care deține un singur certificat.

Furnizează prin modelul de identitate pe care îl ai

O implementare WireGuard poate autoriza chei de peer distincte, una pe dispozitiv. O implementare bazată pe certificate poate emite certificate de client individuale din propria autoritate. Un sistem de conturi poate combina un utilizator cu înregistrări separate de dispozitiv, în funcție de produs. Folosește procesul de înrolare susținut de operator, pentru că generarea unui secret local nou nu face nimic până când peer-ul sau gateway-ul nu recunoaște autorizarea corespunzătoare.

Calea susținută este și cea care supraviețuiește următoarei actualizări.

Inventar fără secrete

Ține eticheta dispozitivului, identificatorul public și proprietarul într-un inventar în care poți căuta. Nu copia chei private în acel inventar, pentru că transformă o listă de active într-un depozit de acreditări.

Un rând care spune „Laptopul Anei, cheie publică de peer, emisă pe 12 martie” este suficient pentru a acționa.

Eliminarea este o procedură, nu un buton

Notează cum se dezactivează exact un dispozitiv și dacă o sesiune activă are nevoie de un pas separat de terminare. Verifică persistența, ca o repornire sau un backup vechi de configurare să nu reintroducă autorizarea. Confirmă că eliminarea a avut efect încercând să te conectezi de pe dispozitivul eliminat. Apoi verifică dacă altceva făcea referire la acea identitate, cum ar fi o sondă de monitorizare sau o rută partajată.

Pasul pe care oamenii îl sar este ultimul, și este singurul care dovedește schimbarea.

Ordinea înlocuirii

Emite mai întâi dispozitivul nou, verifică-l față de resursa de care are nevoie, apoi scoate din uz dispozitivul vechi. Excepția este expunerea: dacă dispozitivul vechi poate fi în mâinile altcuiva, elimină-l mai întâi și acceptă întreruperea.

În orice caz, revizuiește exporturile salvate pe hardware-ul scos din uz înainte ca acesta să părăsească clădirea.

Ce îți oferă identitățile separate

Trei lucruri, și fiecare apare în timpul unui incident:

• Revocarea unui dispozitiv fără a le atinge pe celelalte.
• Atribuirea unei conexiuni unui dispozitiv, nu unui grup.
• Explicarea unei defecțiuni fără a colecta activitatea tuturor.

Recomandările operatorului fac autoritate asupra propriului model de furnizare, fie că sunt chei pe peer ca în pornirea rapidă WireGuard, fie certificate individuale de la o autoritate locală. Înregistrările distincte sunt diferența dintre o flotă despre care poți raționa și o flotă pe care o poți doar reseta.