Jedna identita VPN na zariadenie: prečo zdieľanie kazí odobratie

Jeden profil skopírovaný do notebooku, telefónu a tabletu funguje dobre, kým sa jeden z nich nestratí. V tej chvíli je voľba buď prerušiť každé zariadenie, ktoré identitu zdieľa, alebo ponechať nežiaduci prístup na mieste. Obe možnosti sú horšie než tých desať minút, ktoré by zabralo vydať tri identity. Mechanizmus nie je zložitý: VPN peer je záznam o autorizácii a jeden záznam na zariadenie je to, čo mení odobratie na jednu presnú akciu.

Čo zdieľaný profil zdieľa

Kopírovanie súkromného kľúča kopíruje celú autorizáciu: položku peeru, adresu tunela a všetky trasy a zásady, ktoré sú k nej pripojené. Server nedokáže kópie rozlíšiť, pretože protokol identifikuje peer podľa kľúča, nie podľa zariadenia. Každý riadok záznamu, každý limit a každé rozhodnutie o odvolaní platí pre skupinu. Zdieľaný profil preto nie je pohodlie s malou bezpečnostnou cenou, je to jediný bod zlyhania s niekoľkými pripojenými zariadeniami.

Rovnaká logika platí pre zdieľaný účet s jediným certifikátom.

Zabezpečte to modelom identity, ktorý máte

Nasadenie WireGuard môže autorizovať samostatné kľúče peerov, jeden na zariadenie. Nasadenie založené na certifikátoch môže vydávať jednotlivé klientske certifikáty z vlastnej autority. Účtový systém môže kombinovať používateľa so samostatnými záznamami zariadení, podľa produktu. Použite operátorom podporovaný proces registrácie, pretože vytvorenie nového miestneho tajomstva nič nezmení, kým peer alebo brána nerozpoznajú príslušnú autorizáciu.

Podporovaná cesta je aj tá, ktorá prežije nasledujúci upgrade.

Inventár bez tajomstiev

Uchovávajte označenie zariadenia, verejný identifikátor a vlastníka v inventári, ktorý dokážete prehľadávať. Nekopírujte doň súkromné kľúče, pretože tým sa zo zoznamu aktív stane úložisko prihlasovacích údajov.

Riadok „Anin notebook, verejný kľúč peeru, vydaný 12. marca“ stačí na to, aby ste mohli konať.

Odobratie je postup, nie tlačidlo

Zapíšte, ako zakázať presne jedno zariadenie a či aktívna relácia potrebuje samostatný krok ukončenia. Skontrolujte trvácnosť, aby restart alebo stará záloha konfigurácie autorizáciu nezaviedli znova. Potvrďte, že odobratie zabralo, pokusom pripojiť sa z odobraného zariadenia. Potom skontrolujte, či na túto identitu neodkazovalo niečo ďalšie, napríklad monitorovacia sonda alebo zdieľaná trasa.

Krok, ktorý ľudia preskakujú, je ten posledný, a je jediný, ktorý zmenu dokazuje.

Poradie výmeny

Najprv vydajte nové zariadenie, overte ho voči zdroju, ktorý potrebuje, a potom vyraďte staré. Výnimkou je vystavenie: ak staré zariadenie môže byť v cudzích rukách, odoberte ho najprv a prijmite prerušenie.

V každom prípade pred odchodom z budovy skontrolujte uložené exporty na vyradenom hardvéri.

Čo vám oddelené identity prinesú

Tri veci a každá sa ukáže počas incidentu:

• Odvolať jedno zariadenie bez toho, aby ste sa dotkli ostatných.
• Priradiť spojenie zariadeniu, nie skupine.
• Vysvetliť zlyhanie bez zbierania aktivity všetkých.

Pokyny operátora sú autoritou pre jeho vlastný model poskytovania, či už ide o kľúče na každý peer ako v rýchlom štarte WireGuard, alebo o jednotlivé certifikáty od miestnej autority. Odlišné záznamy sú rozdielom medzi flotilou, o ktorej možno uvažovať, a flotilou, ktorú možno len resetovať.