Hal shahaado qalab kasta ma ka dhigto furaha mid qalabka ku xidhan
Shahaado qalab kasta leh waa doorasho maamule, ma aha xidhid qalab. Waxa xidhnaanta go'aamiya waa halka furaha gaarka ah uu yaallo, laga bilaabo fayl la koobi karo ilaa TPM.
Waxaad soo saartaa shahaado gaar ah laptop kasta, sidaas darteed waxaad u malaynaysaa in VPN ay kala garto. Ma kala garan karto. Shahaadada macmiilku waxay caddaynaysaa in qofka isku xidha uu haysto furaha gaarka ah ee u dhigma, iyo borofayl la koobiyeelay ayaa isna sidaas oo kale haysta.
Shahaadada qalab kasta wali waa fikrad wanaagsan. Waxay uun qabataa shaqo ka duwan tan dadka badankiisu filayaan.
Waxa shahaadada macmiilku dhab ahaan caddaynayso
Inta lagu guda jiro is-dhaafsiga, macmiilku waxa uu ku saxeexaa furaha gaarka ah ee shahaadadiisa u dhigma, serverna waxa uu saxeexaas ku xaqiijiyaa CA-da uu aaminaad. Waxba is-dhaafsigaas dhexdiisa kama sheegayo mishiinka. Qalab kasta oo haysta shahaadada iyo furaha labadaba waxa uu soo saaraa saxeex isku mid ah, sidaas darteed borofayl loo koobiyeelay laptop labaad waxa uu u eg yahay si sax ah midka asalka ah. Shahaadadu waxay magacawdaa aqoonsi; ma magacawdo qalab.
Gaar ahaanshaha qalab kastaa wali waa qiimo leh, sababtoo ah waxa uu ka dhigaa burinta mid sax ah. Waa sifo maamul, ma aha quful farsamo.
Saddex heerar oo kaydinta furaha
Heerka koowaad waa fayl furaha oo ku yaal diskiga. Waa mid la qaadan karo naqshad ahaan, waana halka borofaylada OpenVPN badankoodu ku nool yihiin.
Heerka labaad waa furaha ay nidaamka hawlgalku calaamadiyo mid aan la dhoofin karin. Windows waxa uu ku abuuri karaa furaha qalabka kaydka shahaadadiisa oo uu diidi karaa dhoofinta caadiga ah, taas oo joojisa koobista fudud. Ma aha mid qalab ku salaysan, oo haddii mishiinka si ku filan loo galo furaha noocaas ah waa la soo ceshan karaa, sidaas darteed waxa uu kordhiyaa dadaalka halkii uu darbi dhisi lahaa.
Heerka saddexaad waa furaha lagu abuuro gudaha qalab ammaan: TPM, kaadhka casriga, SIM ama token PIV. Qaybahaas ma laha wareegga korantada ee lagu dhoofiyo furaha ay abuureen, saxeexiduna waxay ku dhacdaa gudaha qaybta. Furahu waligiis ma noqdo fayl qofna koobi karo.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Shaxdaasi waa doodda oo dhan saddex saf.
Waxa easy-rsa qaban karto iyo waxa aanay qaban karin
Soo saarista shahaadooyin qalab kasta waa mid toos ah. Samee magac guud oo gaar ah qalab kasta oo ka soo horjeeda isla CA-daas, tusaale ahaan ./easyrsa build-client-full laptop-a nopass, oo ku celi qalab kasta. Diiwaangeli magaca guud ee kaas oo qof kasta iyo mishiin kasta leh.
Burintu sidoo kale waa toos: ./easyrsa revoke laptop-a, dib u soo saar CRL adigoo isticmaalaya ./easyrsa gen-crl, oo hubi in serverku dhab ahaan u akhriyo iyada crl-verify.
Waxa CA aanay qaban karin waa in ay caddayso halka furaha gaarku uu hadda yaallo. Haddii aad furaha ku abuurto martigeliyaha CA oo aad ku koobiyo qalabka, waxaad abuurtay koobi labaad waqtiga soo saarista. Fure aan la dhoofin karin waa in qalabka dhexdiisa lagu abuuraa, ama lagu geliyaa qalab aan isaga sii dayn.
Kontaroolo ka badbaada borofayl la koobiyeelay
U qaado in borofaylka la koobi karo oo ka naqshadee taas. Ku xidh akoonka arrin labaad si shahaadada oo keligeed aanay ku filnayn. Si qalab kasta siyaasad u gaar ah si gaaritaanka hal aqoonsi uu xaddidan yahay. Oo fiirso isla magaca guud oo si isku mar ah laga soo xidho laba cinwaan, taas oo ah sida borofayl la wadaago uu uga muuqdo diiwaanka isku xidhka.
Burin degdeg ah oo diiwaangashan waa kontaroolka wali shaqeeya ka dib marka koobi dhacdo. Wax kasta oo kale waa ka hortag.
Sheegashada uu serverku dhab ahaan ku tiirsan karo
Gaar ahaanshuhu waxa uu ka yimaadaa CA-da. Xidhnaanta qalabku waxay ka timaadaa kaydinta furaha. Kaliya qalab aan dhoofin karin furahiisa ayaa hal shahaado qalab kasta u beddela sheegasho uu serverku dhaqangaliyo, halkii ay ahaan lahayd siyaasad qof walba oggol yahay in la raaco.