Një identitet VPN për çdo pajisje: pse ndarja dëmton heqjen

Një profil i kopjuar në një laptop, një telefon dhe një tablet funksionon mirë derisa njëra prej tyre humbet. Në atë moment zgjedhja është të ndërpritet çdo pajisje që ndan identitetin ose të lihet aksesi i padëshiruar në vend. Të dyja opsionet janë më të këqija se dhjetë minutat që do të duheshin për të lëshuar tre identitete. Mekanizmi nuk është i komplikuar: një peer VPN është një regjistrim autorizimi, dhe një regjistrim për çdo pajisje është ajo që e kthen heqjen në një veprim të vetëm të saktë.

Çfarë ndan një profil i ndarë

Kopjimi i një çelësi privat kopjon të gjithë autorizimin: hyrjen e peer-it, adresën e tunelit dhe të gjitha rrugët e politikave të bashkangjitura. Serveri nuk mund t’i dallojë kopjet, sepse protokolli e identifikon peer-in me çelës dhe jo me pajisje. Çdo rresht log, çdo kufi dhe çdo vendim revokimi zbatohen për grupin. Prandaj një profil i ndarë nuk është komoditet me kosto të vogël sigurie, ai është një pikë e vetme dështimi me disa pajisje të varura.

E njëjta logjikë vlen për një llogari të ndarë që mban një certifikatë të vetme.

Siguro përmes modelit të identitetit që ke

Një vendosje WireGuard mund të autorizojë çelësa peer të veçantë, një për çdo pajisje. Një vendosje e bazuar në certifikata mund të lëshojë certifikata klienti individuale nga autoriteti i vet. Një sistem llogarish mund të kombinojë një përdorues me regjistrime të veçanta pajisjeje, në varësi të produktit. Përdor procesin e regjistrimit që mbështet operatori, sepse krijimi i një sekreti të re lokal nuk bën asgjë derisa peer-i ose porta të njohë autorizimin përkatës.

Rruga e mbështetur është edhe ajo që i mbijeton përditësimit të ardhshëm.

Inventar pa sekrete

Mbaj etiketën e pajisjes, identifikuesin publik dhe pronarin në një inventar që mund ta kërkosh. Mos kopjo çelësa privatë në atë inventar, sepse e kthen një listë aktivesh në një depo kredencialesh.

Një rresht që thotë „Laptopi i Anës, çelësi publik i peer-it, lëshuar më 12 mars“ mjafton për të vepruar.

Heqja është procedurë, jo buton

Shkruaj si të çaktivizohet saktësisht një pajisje dhe nëse një sesion aktiv kërkon një hap të veçantë përfundimi. Kontrollo këmbënguljen, që një rinisje ose një kopje e vjetër e konfigurimit të mos e rikthejë autorizimin. Konfirmo që heqja funksionoi duke provuar të lidhesh nga pajisja e hequr. Më pas kontrollo nëse diçka tjetër i referohej atij identiteti, si një sondë monitorimi ose një rrugë e ndarë.

Hapi që njerëzit e kalojnë është i fundit, dhe është i vetmi që vërteton ndryshimin.

Rendi i zëvendësimit

Lësho fillimisht pajisjen e re, verifikoje kundrejt burimit që i nevojitet, pastaj tërhiq të vjetrën. Përjashtim është ekspozimi: nëse pajisja e vjetër mund të jetë në duart e dikujt tjetër, hiqe fillimisht dhe prano ndërprerjen.

Në çdo rast, rishiko eksportet e ruajtura në harduerin e tërhequr përpara se të largohet nga ndërtesa.

Çfarë të japin identitetet e veçanta

Tre gjëra, dhe secila shfaqet gjatë një incidenti:

• Revoko një pajisje pa prekur të tjerat.
• Atribuo një lidhje një pajisjeje, jo një grupi.
• Shpjego një dështim pa mbledhur aktivitetin e të gjithëve.

Udhëzimi i operatorit është autoriteti për modelin e vet të sigurimit, qoftë çelësa për çdo peer si në fillimin e shpejtë të WireGuard ose certifikata individuale nga një autoritet lokal. Regjistrimet e veçanta janë dallimi mes një flote për të cilën mund të arsyetosh dhe një flote që mund vetëm ta rivendosësh.