Ena identiteta VPN na napravo: zakaj souporaba pokvari odstranitev

En profil, kopiran na prenosnik, telefon in tablico, deluje dobro, dokler se eden od njih ne izgubi. V tistem trenutku je izbira prekiniti vsako napravo, ki si deli identiteto, ali pustiti neželen dostop na mestu. Obe možnosti sta slabši od tistih desetih minut, ki bi jih potrebovali za izdajo treh identitet. Mehanizem ni zapleten: peer VPN je zapis o avtorizaciji, in en zapis na napravo je tisto, kar odstranitev spremeni v eno natančno dejanje.

Kaj si deljeni profil deli

Kopiranje zasebnega ključa kopira celotno avtorizacijo: vnos peerja, naslov tunela ter vse poti in pravilnike, ki so nanj vezani. Strežnik ne more razlikovati kopij, ker protokol prepozna peerja po ključu in ne po napravi. Vsaka vrstica dnevnika, vsaka omejitev in vsaka odločitev o preklicu velja za skupino. Deljeni profil torej ni udobje z majhnim stroškom varnosti, je ena sama točka odpovedi z več napravami.

Enaka logika velja za deljeni račun z enim samim potrdilom.

Zagotovite z modelom identitete, ki ga imate

Namestitev WireGuard lahko avtorizira ločene ključe peerjev, enega na napravo. Namestitev na podlagi potrdil lahko izdaja posamezna odjemalska potrdila iz lastnega organa. Sistem računov lahko poveže uporabnika z ločenimi zapisi naprav, odvisno od izdelka. Uporabite postopek registracije, ki ga podpira operater, ker ustvarjanje nove lokalne skrivnosti ne naredi ničesar, dokler peer ali prehod ne priznata ustrezne avtorizacije.

Podprta pot je tudi tista, ki preživi naslednjo nadgradnjo.

Popis brez skrivnosti

Oznako naprave, javni identifikator in lastnika hranite v popisu, po katerem lahko iščete. V ta popis ne kopirajte zasebnih ključev, ker iz seznama sredstev naredi shrambo poverilnic.

Vrstica »Anin prenosnik, javni ključ peerja, izdan 12. marca« je dovolj za ukrepanje.

Odstranitev je postopek, ne gumb

Zapišite, kako onemogočiti natanko eno napravo in ali aktivna seja potrebuje ločen korak zaključka. Preverite obstojnost, da ponovni zagon ali stara varnostna kopija konfiguracije ne vrne avtorizacije. Potrdite, da je odstranitev delovala, tako da se poskusite povezati z odstranjene naprave. Nato preverite, ali je na to identiteto kazalo še kaj, na primer nadzorna sonda ali deljena pot.

Korak, ki ga ljudje preskočijo, je zadnji, in je edini, ki dokaže spremembo.

Vrstni red zamenjave

Najprej izdajte novo napravo, jo preverite glede na vir, ki ga potrebuje, nato umaknite staro. Izjema je izpostavljenost: če je stara naprava lahko v tujih rokah, jo odstranite najprej in sprejmite prekinitev.

V vsakem primeru pred odhodom iz stavbe pregledajte shranjene izvoze na umaknjeni strojni opremi.

Kaj vam prinesejo ločene identitete

Tri stvari, in vsaka se pokaže med incidentom:

• Preklicati eno napravo, ne da bi se dotaknili drugih.
• Pripisati povezavo napravi, ne skupini.
• Pojasniti napako, ne da bi zbirali dejavnost vseh.

Navodila operaterja so avtoriteta za njegov lastni model zagotavljanja, bodisi ključi na peerja kot v hitrem začetku WireGuard bodisi posamezna potrdila lokalnega organa. Ločeni zapisi so razlika med floto, o kateri lahko razmišljate, in floto, ki jo lahko samo ponastavite.