Jedan VPN identitet po uređaju: zašto deljenje kvari uklanjanje

Jedan profil kopiran na laptop, telefon i tablet radi dobro dok se jedan od njih ne izgubi. U tom trenutku izbor je prekinuti svaki uređaj koji deli identitet ili ostaviti neželjeni pristup na mestu. Obe opcije su gore od deset minuta koliko bi trebalo da se izdaju tri identiteta. Mehanizam nije komplikovan: VPN peer je zapis o autorizaciji, a jedan zapis po uređaju je ono što uklanjanje pretvara u jednu preciznu radnju.

Šta deli deljeni profil

Kopiranje privatnog ključa kopira celu autorizaciju: unos peera, adresu tunela i sve rute i politike vezane za njega. Server ne može da razlikuje kopije, jer protokol identifikuje peera po ključu, a ne po uređaju. Svaki red u zapisu, svako ograničenje i svaka odluka o opozivu odnose se na grupu. Deljeni profil zato nije pogodnost sa malim troškom bezbednosti, on je jedna tačka otkaza sa nekoliko uređaja.

Ista logika važi za deljeni nalog koji drži jedan sertifikat.

Obezbedite kroz model identiteta koji imate

WireGuard instalacija može da autorizuje različite peerske ključeve, po jedan za svaki uređaj. Instalacija zasnovana na sertifikatima može da izdaje pojedinačne klijentske sertifikate iz sopstvene ustanove. Sistem naloga može da kombinuje korisnika sa odvojenim zapisima uređaja, zavisno od proizvoda. Koristite operaterov podržani proces upisa, jer generisanje nove lokalne tajne ne čini ništa dok peer ili mrežni prolaz ne prepozna odgovarajuću autorizaciju.

Podržani put je i onaj koji preživljava sledeću nadogradnju.

Inventar bez tajni

Držite oznaku uređaja, javni identifikator i vlasnika u inventaru koji možete da pretražujete. Ne kopirajte privatne ključeve u taj inventar, jer to popis imovine pretvara u skladište akreditiva.

Red koji kaže „Anin laptop, javni ključ peera, izdat 12. marta“ dovoljan je za delovanje.

Uklanjanje je procedura, a ne dugme

Zapišite kako da onemogućite tačno jedan uređaj i da li aktivnoj sesiji treba poseban korak prekida. Proverite postojanost, da ponovno pokretanje ili stara sigurnosna kopija konfiguracije ne vrati autorizaciju. Potvrdite da je uklanjanje delovalo pokušajem povezivanja sa uklonjenog uređaja. Zatim proverite da li je nešto drugo referenciralo taj identitet, poput nadzorne sonde ili deljene rute.

Korak koji ljudi preskaču je poslednji i jedini dokazuje promenu.

Redosled zamene

Prvo izdajte novi uređaj, proverite ga prema resursu koji mu treba, pa povucite stari. Izuzetak je izloženost: ako stari uređaj može biti u tuđim rukama, prvo ga uklonite i prihvatite prekid.

U svakom slučaju, pregledajte sačuvane izvoze na povučenom hardveru pre nego što napusti zgradu.

Šta vam donose odvojeni identiteti

Tri stvari, i svaka se pokaže tokom incidenta:

• Opozvati jedan uređaj bez diranja ostalih.
• Pripisati vezu uređaju, a ne grupi.
• Objasniti kvar bez prikupljanja aktivnosti svih.

Operaterove smernice su autoritet za njegov sopstveni model obezbeđivanja, bilo da su to ključevi po peeru kao u WireGuard brzom početku ili pojedinačni sertifikati lokalne ustanove. Različiti zapisi su razlika između flote o kojoj možete da razmišljate i flote koju možete samo da resetujete.