උපාංගයකට එක් සහතිකයක් දීමෙන් යතුර උපාංගයට බැඳෙන්නේ නැත
උපාංගයකට වෙන් වූ සහතිකයක් යනු පරිපාලකයාගේ තේරීමක් මිස උපාංග බැඳීමක් නොවේ. බැඳීම තීරණය කරන්නේ පෞද්ගලික යතුර පිහිටන්නේ කොහේද යන්නයි: පිටපත් කළ හැකි ගොනුවක සිට TPM දක්වා.
ඔබ සෑම ලැප්ටොප් පරිගණකයකටම වෙන් වූ සහතිකයක් නිකුත් කරන නිසා, VPN ඒවා වෙන් කර හඳුනාගත හැකි යැයි ඔබ උපකල්පනය කරයි. එය එසේ නොවේ. සේවාලාභී සහතිකයක් ඔප්පු කරන්නේ සම්බන්ධ වන අය ගැලපෙන පෞද්ගලික යතුර දරන බවත්, පිටපත් කළ පැතිකඩක් ද එය දරන බවත්ය.
උපාංගයකට වෙන් වූ සහතිකය තවමත් හොඳ අදහසකි. එය කරන්නේ බොහෝ දෙනා බලාපොරොත්තු වන දෙයට වඩා වෙනස් කාර්යයකි.
සේවාලාභී සහතිකයක් ඇත්ත වශයෙන්ම ඔප්පු කරන්නේ කුමක්ද
සම්බන්ධතාව ඇති කරගන්නා අවස්ථාවේ සේවාලාභියා තම සහතිකයට ගැලපෙන පෞද්ගලික යතුරෙන් අත්සන් කරයි, තවද සේවාදායකයා එම අත්සන තමා විශ්වාස කරන CA සමඟ සත්‍යාපනය කරයි. එම හුවමාරුවේ කිසිවක් යන්ත්‍රය විස්තර නොකරයි. සහතිකය සහ යතුර යන දෙකම දරන ඕනෑම උපාංගයක් සමාන අත්සනක් නිපදවන බැවින්, දෙවන ලැප්ටොප් පරිගණකයකට පිටපත් කළ පැතිකඩක් මුල් පිටපත හා හරියටම සමාන ලෙස පෙනේ. සහතිකය නම් කරන්නේ අනන්‍යතාවකි; එය උපකරණ නම් නොකරයි.
උපාංගයකට ඇති අනන්‍යතාව තවමත් වටිනාකමක් උපයයි, මන්ද එය අවලංගු කිරීම නිශ්චිත කරයි. එය පරිපාලන ගුණාංගයකි, තාක්ෂණික අගුළුවක් නොවේ.
යතුරු ගබඩා කිරීමේ මට්ටම් තුනක්
පළමු මට්ටම වන්නේ තැටියේ ඇති යතුරු ගොනුවකි. එය සැලසුමෙන්ම ගෙනයා හැකි අතර, බොහෝ OpenVPN පැතිකඩ ගබඩා වන්නේ එහි ය.
දෙවන මට්ටම වන්නේ මෙහෙයුම් පද්ධතිය විසින් අපනයනය කළ නොහැකි ලෙස සලකුණු කරන යතුරකි. Windows හට තම සහතික ගබඩාවේ උපාංග යතුරක් ජනනය කර සාමාන්‍ය අපනයනය ප්‍රතික්ෂේප කළ හැකි අතර, එය අහම්බෙන් සිදුවන පිටපත් කිරීම නවතයි. එය දෘඩාංග මත පදනම් නොවන අතර, යන්ත්‍රයට ප්‍රමාණවත් ප්‍රවේශයක් ඇති විට එවැනි යතුරු ප්‍රතිසාධනය කළ හැකි බැවින්, එය බාධකයක් ගොඩනැගීම වෙනුවට වෙහෙස වැඩි කරයි.
තෙවන මට්ටම වන්නේ ආරක්ෂක දෘඩාංගයක් තුළ ජනනය කරන යතුරකි: TPM, ස්මාර්ට් කාඩ්පතක්, SIM හෝ PIV ටෝකනයක්. එම මොඩියුලවල තමන් ජනනය කළ යතුර අපනයනය කිරීමට පරිපථ නොමැති අතර, අත්සන් කිරීම සිදුවන්නේ මොඩියුලය තුළම ය. යතුර කිසිදා කිසිවෙකුට පිටපත් කළ හැකි ගොනුවක් නොවේ.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
එම වගුව මුළු තර්කයම පේළි තුනකින් පෙන්වයි.
easy-rsa හට කළ හැකි දේ සහ කළ නොහැකි දේ
උපාංගයකට වෙන් වූ සහතික නිකුත් කිරීම සරල ය. එකම CA සමඟ එක් එක් උපාංගයට වෙන් වූ පොදු නාමයක් සාදන්න, උදාහරණයක් ලෙස ./easyrsa build-client-full laptop-a nopass, සහ එක් එක් උපාංගය සඳහා නැවත කරන්න. කුමන පොදු නාමය කුමන පුද්ගලයාට සහ යන්ත්‍රයට අයත් දැයි සටහන් කරන්න.
අවලංගු කිරීම ද එසේම සෘජු ය: ./easyrsa revoke laptop-a, ./easyrsa gen-crl සමඟ CRL නැවත ජනනය කරන්න, සහ සේවාදායකයා එය crl-verify හරහා කියවන බවට වග බලා ගන්න.
CA හට කළ නොහැකි දෙය නම් පසුව පෞද්ගලික යතුර පිහිටන තැන සත්‍යාපනය කිරීම ය. ඔබ CA සත්කාරකයේ යතුර ජනනය කර එය උපාංගයට පිටපත් කරන්නේ නම්, නිකුත් කිරීමේදී ඔබ දෙවන පිටපතක් සාදා ඇත. අපනයනය කළ නොහැකි යතුරක් උපාංගයේම ජනනය කළ යුතුය, නැතහොත් එය නිදහස් නොකරන දෘඩාංගයකට ආයාත කළ යුතුය.
පිටපත් කළ පැතිකඩකින් පසුවත් ක්‍රියාත්මක වන පාලන
පැතිකඩ පිටපත් කළ හැකි යැයි උපකල්පනය කර ඊට එරෙහිව සැලසුම් කරන්න. සහතිකය පමණක් ප්‍රමාණවත් නොවන පරිදි ගිණුම දෙවන සාධකයකට බැඳ දමන්න. එක් අනන්‍යතාවක ප්‍රවේශය සීමා වන පරිදි සෑම උපාංගයකටම තමන්ගේ ප්‍රතිපත්තියක් දෙන්න. තවද එකම පොදු නාමය එකවර ලිපින දෙකකින් සම්බන්ධ වන ආකාරය නිරීක්ෂණය කරන්න, සම්බන්ධතා ලොගයක බෙදාගත් පැතිකඩක් පෙනෙන්නේ එලෙස ය.
වේගවත්, ලේඛනගත අවලංගු කිරීම පිටපතක් සිදු වූ පසුවත් ක්‍රියා කරන පාලනය යි. අනෙක් සියල්ල වැළැක්වීම යි.
සේවාදායකයාට ඇත්ත වශයෙන්ම රැඳිය හැකි ප්‍රකාශය
අනන්‍යතාව පැමිණෙන්නේ CA ගෙනි. උපාංග බැඳීම පැමිණෙන්නේ යතුරු ගබඩාවෙනි. තම යතුර අපනයනය කළ නොහැකි දෘඩාංගවලට පමණක්, සෑම කෙනෙකුම එකඟ වන ප්‍රතිපත්තියක් වෙනුවට, සේවාදායකයා බලාත්මක කරන ප්‍රකාශයක් බවට උපාංගයකට එක් සහතිකයක් හැරවිය හැක.