VPN පෞද්ගලික යතුර කොහේ තිබිය යුතුද: ගොනුව, CNG හෝ TPM?

VPN පෞද්ගලික යතුර කොහේ තිබිය යුතුද යන්න ප්‍රශ්න දෙකක් තීරණය කරයි: යතුරු ද්‍රව්‍යය සත්කාරකයෙන් පිටපත් කළ හැකිද, සහ යතුරුපුවරුවේ කිසිවෙකු නොමැතිව ක්‍රියාවලියකට එය භාවිත කළ හැකිද. ගබඩාවක අලෙවි ලේබලය දෙකටම පිළිතුරු නොදේ. නැවත ආරම්භයෙන් පසු ආපසු එන ටනල් ඩීමනයට අධීක්ෂණයකින් තොර භාවිතය අවශ්‍ය වේ, එය මිනිසා විසින් ටයිප් කරන PIN මත රඳා පවතින සියල්ල බැහැර කරයි.

පිටපත් කිරීම සහ භාවිතය අතරින් තෝරන්න

පිටපත් කිරීම සහ භාවිතය වෙනස් ආකාරයෙන් අසාර්ථක වේ, එබැවින් ඒවා එකක් නොව දෙකක් ලෙස සලකන්න. යතුරු බයිට් කියවිය හැකි ප්‍රහාරකයා අනන්‍යතාවය තවත් සත්කාරකයකට ගෙන යයි, මුල් යන්ත්‍රය එය නොදකියි. බයිට් කියවිය නොහැකි නමුත් අත්සන් ක්‍රියාවලියට ළඟා විය හැකි ප්‍රහාරකයා එම ප්‍රවේශය පවතින තාක් දුරට සත්‍යාපනය වේ.

ගොනුවේ ඇති යතුර පහසුවෙන් පිටපත් කළ හැක, එබැවින් එය උපස්ථ කිරීම සහ ප්‍රතිසාධනය ද පහසුම වේ. මෘදුකාංග යතුරු ගබඩාව API වෙනස් කරයි, සීමාව නොවේ: සපයන්නා තමන්ගේම අපනයන ඇමතුම් ප්‍රතික්ෂේප කරයි, නමුත් යතුර ස්ථාපනය කළ එම පරිපාලක සන්දර්භයට ද්‍රව්‍යයට ළඟා වීමට වෙනත් මාර්ග සාමාන්‍යයෙන් ඇත. මෘදුකාංග සපයන්නෙකු තුළ අපනයනය කළ නොහැකි වීම සහාය දක්වන ක්‍රියාකාරකම් ගැන ප්‍රකාශයක් මිස යෙදවුම් බිත්තියකට සාක්ෂියක් නොවේ. එය අහම්බෙන් පිටපත් කිරීමට එරෙහි වේග මන්දගාමකයක් ලෙස සලකන්න, දැනටමත් ඔබේ සැසිය ඇති අයෙකුගෙන් ආරක්ෂාවක් ලෙස නොවේ.

TPM හෝ ස්මාර්ට් කාඩ්පත අත්සන් ක්‍රියාකාරකම යෙදවුම තුළ සිදු කර ප්‍රතිඵලය පමණක් ආපසු දෙයි. එය පිටපත් මාර්ගය වසා, අත්සනක් ඉල්ලිය හැකි සියල්ලට භාවිත මාර්ගය විවෘතව තබයි.

ගබඩාව ටනල් ඩීමනය සමඟ ගළපන්න

ඩීමනය මෙය ආරක්ෂක ප්‍රතිපත්තියට වඩා සීමා කරයි. WireGuard ගොනුවකින් හෝ wg set ආදානයෙන් base64 පෞද්ගලික යතුර ගන්නා අතර සහතික ගබඩාවකට මාර්ගයක් නැත, එබැවින් TPM ආධාරක අතුරුමුහුණත් යතුරක් සලකා බැලෙන්නේ නැත. OpenSSL 3 එරෙහිව ගොඩනගන ලද OpenVPN සපයන්නා URI හරහා යතුරක් පූරණය කළ හැක, strongSwan PKCS#11 සහාය සමඟ TPM ප්ලගිනයක් සපයයි, නමුත් දෙකම ඔබේ පැකේජය සම්පාදනය කළ ආකාරය මත රඳා පවතී.

තෝරාගත් ගබඩාවට ළඟා විය නොහැකි ඩීමනය යෙදවුම් සීමාව අලංකරණයක් බවට පත් කරයි. යමෙකු යතුර එක් වරක් අපනයනය කර ගොනුවක තබයි, ඉතිරි නිර්මාණය එම පිටපත මත නිශ්ශබ්දව ධාවනය වේ.

අලුත් කිරීම ගැළපීමේ අනෙක් අර්ධයයි, මෙහිදී බොහෝ නිර්මාණ කැඩී යයි. පළමු ලියාපදිංචියේදී ක්‍රියා කරන නමුත් සෑම නැවත නිකුතුවකටම කොන්සෝල පිවිසුමක් ඉල්ලන ගබඩාවක්, සහතිකයක් අපහසු පැයක කල් ඉකුත් වන පළමු අවස්ථාවේදී මඟ හරිනු ලැබේ. වත්මන් යතුරට තවම මාස ඇති විට නැවත නිකුත් කිරීමේ මාර්ගය පරීක්ෂා කරන්න.

යතුර ගෙන යාමට පෙර ලැයිස්තුගත කරන්න

යතුර යනු කුමක්ද සහ එය ජීවත් වන්නේ කොහේද යන්න වෙනස් කිරීමට පෙර සටහන් කරන්න, මන්ද subject alternative names අහිමි වන සංක්‍රමණය ටනලය මාර්ග දෝෂයක් ලෙස කියවෙන ආකාරයෙන් බිඳ දමයි. සහතිකය ඩම්ප් කරන්න, පෞද්ගලික යතුර ඩීමනය බලාපොරොත්තු වන තැන කියවිය හැකි බව තහවුරු කරන්න, සහ යුගලය සැබවින්ම ගැළපෙන බව පරීක්ෂා කරන්න.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

අවසාන සාරාංශ දෙක සමාන විය යුතුය. එසේ නොවේ නම් ඩීමනය සැකසුම අවසන් කර පසුව සෑම උත්සාහයකදීම සහතික හෝ අත්සන් දෝෂයකින් අසාර්ථක වේ, එය සැබෑ හේතුවට ආසන්නව කිසිදු තැනකට යොමු නොවේ. WireGuard සමානකම කෙටිය, මන්ද පොදු යතුර පෞද්ගලිකයෙන් සෘජුවම ව්‍යුත්පන්න වේ: wg pubkey < /etc/wireguard/wg0.key ඔබේ සේවාදායකය දැනටමත් ගබඩා කරන සහකරු යතුර මුද්‍රණය කළ යුතුය.

අවසර එම ලැයිස්තුවටම අයත් වේ. stat -c '%a %U:%G' /etc/wireguard/wg0.key 600 root:root ආපසු දිය යුතුය, සහ කණ්ඩායමට හෝ ලෝකයට කියවිය හැකි ඕනෑම දෙයක් යනු ඔබ කිසිදා අදහස් නොකළ ක්‍රියාවලිවලට යතුර දැනටමත් ලබා ගත හැකි වූ බවයි.

ගබඩාව සහ භාවිත මාර්ගය පරීක්ෂා කරන්න

සත්‍යාපනයට කොටස් තුනක් ඇත, තුන්වැන්න මඟ හරිනු ලැබේ. යතුර ඔබ තෝරාගත් ගබඩාවේ ඇති බව තහවුරු කරන්න, ඩීමනය එම යතුර පූරණය කළ බව ඉතිරි පිටපතක් නොවන බව තහවුරු කරන්න, පසුව අපනයන කෘතිය ගිය පසුවත් එය ආරම්භ වන බව තහවුරු කරන්න.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

Windows හි පළමු විධානය පුද්ගලික ගබඩාව ලැයිස්තුගත කර සෑම සටහනක් අසලම යතුරු සපයන්නා මුද්‍රණය කරයි, එහිදී යෙදවුම් ආධාරක බව පෙනෙන නමුත් මෘදුකාංග සපයන්නා තුළ වාඩි වී සිටින සහතිකයක් දිස් වේ. දෙවැන්න වේදිකා ක්‍රිප්ටෝ සපයන්නා සතු යතුරු ලැයිස්තුගත කරයි, එබැවින් එහි නොමැති VPN අනන්‍යතාවය එහි සහතිකය පවතින විට, පෞද්ගලික අර්ධය වෙනත් තැනක ජීවත් වන බවයි. Linux ගේට්වේ එකක ipsec listcerts strongSwan පූරණය කළ දේ, TPM ප්ලගිනයෙන් පැමිණි යතුරු ඇතුළුව වාර්තා කරයි. සටහන් ගණන විශ්වාස කරනවාට වඩා ඇඟිලි සලකුණු හෝ පොදු යතුරු හැෂ් ලැයිස්තුව සමඟ සසඳන්න.

සෘණාත්මක පරීක්ෂණය යනු නිර්මාණය ඔප්පු කරන්නේ එයයි. අපනයනය කළ යතුර ඩීමනයේ වින්‍යාස නාමාවලියෙන් පිටතට ගෙන යන්න, සේවාව නැවත ආරම්භ කරන්න, සහ ලොගයේ එය කුමන අනන්‍යතාවයක් ඉදිරිපත් කරන්නේද කියවන්න. කෙසේ වුවත් ඉහළ එන ටනලය ගබඩාව භාවිත කරයි; අසාර්ථක ආරම්භය යනු නිර්මාණය සැබවින්ම පිටපතක් මත ධාවනය වූ බවයි.

අලුත් කිරීම සහ ආපසු යාම ලියන්න

ආපසු යාම පවුල් දෙක අතර තියුණු ලෙස වෙනස් වේ, එම වෙනස නිර්මාණ සටහනට අයත් වේ, සිද්ධි ඇමතුමට නොවේ. ගොනු යතුරක් සංකේතනය කර උපස්ථ කර ප්‍රතිසාධනය කළ හැක, එබැවින් අසාර්ථක සංක්‍රමණය ආපසු හැරවිය හැක. අපනයනය කළ නොහැකි යතුරක් උපස්ථ කළ නොහැක, එය උපාංගය මිය යන විට නැවත නිකුතුව සහ නැවත ලියාපදිංචිය එකම ප්‍රතිසාධන මාර්ගය බවට පත් කරයි.

කල් ඉකුත් වීම බාධාවක් වීමට පෙර පරීක්ෂා කරන්න: openssl x509 -in vpn.crt -noout -checkend 2592000 සහතිකය දින තිහක් තුළ කල් ඉකුත් වන විට ශුන්‍ය නොවන කේතයකින් අවසන් වේ, එබැවින් එය සෘජුවම අධීක්ෂණ පරීක්ෂාවකට ඇතුළු වේ. එම පේළියේ සතිපතා ධාවනය කිසිවෙකු සැලසුම් නොකළ අලුත් කිරීම අල්ලා ගනී.

ඉවත් කිරීම සේවාදායකයේ සිදු වේ: සහකරු මකන්න හෝ අනුක්‍රමික අංකය අවලංගු කරන්න, පසුව ටනලය අසාර්ථක වන බව තහවුරු කරන්න, මන්ද කෑෂ් කළ සැසියක් ඇති සේවාලාභියෙකුට අර්ධයක් සම්පූර්ණ වූ අවලංගු කිරීමක් ටික වේලාවක් සඟවා තැබිය හැක. අවලංගු කිරීම CA දත්ත සමුදායට පමණක් නොව, සාන්ද්‍රකයේ CRL හෝ OCSP මාර්ගයටද ළඟා විය යුතුය. සහතිකය පොදු ලේඛනයකි, සහ RFC 5280 පැතිකඩ එය සත්‍යාපනය කරන ආකාරය ආවරණය කරයි; එම සත්‍යාපනයේ කිසිවක් භ්‍රමණයට පෙර පිටපත් කළ පෞද්ගලික යතුර ආරක්ෂා නොකරයි.

තීරණය එක තැනක ලියන්න: කුමන ගබඩාව යතුර තබා ගනීද, කුමන ක්‍රියාවලියට එය භාවිත කළ හැකිද, කවුරුන්ට එය නැවත නිකුත් කළ හැකිද සහ ආපසු යාම කුමක්ද. එම ඡේදය යනු විගණකයන් අසන දෙයයි, සහ කාර්‍ය මණ්ඩල වෙනසකින් ඉතිරි වන දෙයයි.