Pse çelësat e serverit dhe kredencialet e përdoruesit kërkojnë pronarë të ndarë

Çelësi që provon se porta juaj është vetvetja dhe kredenciali që thotë se një person mund të bashkohet janë të dy sekrete, dhe aty mbaron ngjashmëria. Njëri identifikon një shërbim përpara çdo klienti; tjetri identifikon një përdorues përpara atij shërbimi. Përzierja e tyre kursen një hap gjatë konfigurimit dhe kushton një pasdite gjatë një incidenti, sepse rikuperimi për secilin nuk është i njëjti veprim. Ndarja është e mërzitshme për t'u konfiguruar dhe e paharrueshme për t'u anashkaluar.

Dy sekrete, dy pronarë të ndryshëm

Porta mban një çelës privat ose një certifikatë, detyra e vetme e të cilit është të provojë identitetin e tij gjatë shtrëngimit të duarve. Klientët kanë nevojë për materialin publik përkatës për ta verifikuar, dhe nuk kanë kurrë nevojë për gjysmën private. Është pikërisht kjo asimetri që e bën të mundur vërtetimin e serverit pa i dhënë çdo përdoruesi aftësinë për të imituar serverin.

Materiali i përdoruesit shkon në drejtimin tjetër. Një çelës privat klienti, një certifikatë klienti ose një fjalëkalim tregojnë se pikërisht këtij personi ose pajisjeje iu dha akses. Pritet të shpërndahet, të kopjohet midis pajisjeve dhe më në fund të revokohet.

WireGuard e bën të qartë ndarjen sepse çdo pjesëmarrës ka një palë çelësash: çelësi privat i serverit qëndron në server, dhe një skedar konfigurimi që i jepni një përdoruesi përmban çelësin e tij privat plus çelësin publik të serverit. Një profil që përmban çelësin privat të serverit nuk është shkurtore, është një kompromis që pret një ndarje skedari.

Tri pyetje që vendosin ndarjen

Pyetni kush duhet të mund ta lexojë sekretin, çfarë do të lejonte një ekspozim për një sulmues dhe nëse rregullimi është një revokim apo një rindërtim i shërbimit.

Nëse një përdorues mund ta lexojë dhe ai provon identitetin e portës, përgjigjja e pyetjes së dytë është se sulmuesi mund të imitojë serverin tuaj përpara çdo klienti — rezultati më i keq, sepse klientët janë krijuar për t'i besuar atij identiteti. Nëse provon vetëm një përdorues, ekspozimi i jep atij përdoruesi akses në një peer, dhe revokimi është një operacion rutinë. Nëse është një çelës i autoritetit të certifikatave, ekspozimi është më i keq se të dyja, pasi sulmuesi mund të krijojë identitete që çdo pikë fundore u beson.

Këto tri përgjigje prodhojnë rregullin e ruajtjes: çelësi CA jeton jashtë linje ose në një kasafortë, çelësi i portës jeton në portë, dhe çelësat e përdoruesve jetojnë me përdoruesit. Çdo rregullim që i vendos të tre në një direktori të vetme për lehtësi e ka kthyer një vendim në aksident.

Çfarë i duhet vërtet një klienti

Një klienti i duhet certifikata publike ose çelësi publik i peer-it, materiali CA ose gjurma e gishtit që duhet t'i besojë, çelësi i tij privat dhe detajet e pikës fundore. Ai listë nuk përmban asgjë që i përket identitetit privat të portës.

Dokumentacioni është vendi ku kjo rrjedh. Një udhëzues që thotë kopjo direktoriën e serverit dhe fshi atë që nuk të duhet tashmë e ka mësuar modelin e gabuar, sepse skedari që mbetet pas hapit të fshirjes rrallë kontrollohet nga dikush.

Revoko një përdorues pa prekur portën

Meqenëse identitetet e përdoruesve lëshohen veçmas, ato mund të tërhiqen veçmas. Një vendosje e bazuar në certifikata revokon certifikatën e klientit dhe publikon një listë revokimi të përditësuar; një vendosje WireGuard heq hyrjen e peer-it nga konfigurimi i serverit. Asnjë prej këtyre operacioneve nuk ndryshon çelësin e vetë portës.

Ruaj regjistrin e lëshimit, përndryshe nuk do të dish cilin identitet të tërheqësh. Një fletëllogaritëse mjafton, me kusht që të përmendë personin, pajisjen, numrin serial ose çelësin publik dhe datën, dhe me kusht që dikush ta mirëmbajë pasi personi që e ndërtoi të largohet.

Komandat më poshtë inspektojnë një certifikatë klienti dhe më pas e revokojnë përmes një autoriteti në stilin OpenSSL, që është rrjedha që easy-rsa mbështjell:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Publiko listën e re aty ku klientët e kontrollojnë, përndryshe revokimi është një shënim në një skedar që nuk ndryshon asgjë. Nëse porta juaj pranon certifikata klienti pa konsultuar një listë revokimi, thuaje këtë haptazi në vend që të sugjerosh se revokimi funksionon.

Mbaji kopjet rezervë po aq të ndara sa sekretet

Një arkiv rindërtimi përmban në mënyrë legjitime çelësin e portës dhe materialin CA, sepse pa ato një rikthim nuk mund ta riprodhojë shërbimin. Një paketë konfigurimi klienti nuk duhet, dhe të dyja nuk duhet të ruhen bashkë. Etiketo çdo arkiv sipas kujt mund ta mbajë, jo sipas datës kur u krijua. Është pikërisht ajo etiketë që lexon një administrator i lodhur në orën dy të mëngjesit.

Ky dallim përcakton gjithashtu kush mund të marrë secilin. Administrimi i portës, lëshimi i identiteteve të përdoruesve dhe leximi i kopjeve rezervë janë tri fuqi të ndryshme, dhe kush ka nevojë për njërën nuk ka automatikisht nevojë për të tjerat. Shkruaji ato leje dhe më pas kontrolloji kundrejt asaj që ruajtja juaj lejon në të vërtetë, sepse trashëgimia e direktoriave jep në heshtje më shumë sesa synon politika.