Cheti kimoja kwa kila kifaa hakifanyi ufunguo kufungwa na kifaa
Cheti kwa kila kifaa ni uchaguzi wa msimamizi, si ufungaji wa kifaa. Kinachoamua ufungaji ni mahali ufunguo wa faragha unapoishi, kutoka faili linaloweza kunakiliwa hadi TPM.
Unatoa cheti tofauti kwa kila kompyuta ya mkononi, kwa hivyo unadhani VPN inaweza kuzitofautisha. Haiwezi. Cheti cha mteja huthibitisha kwamba anayeunganisha anamiliki ufunguo wa faragha unaolingana, na wasifu ulionakiliwa pia unamiliki huo.
Cheti kwa kila kifaa bado ni wazo zuri. Kinafanya kazi tofauti na ile ambayo watu wengi wanatarajia.
Cheti cha mteja huthibitisha nini hasa
Wakati wa mazungumzo ya kuanzisha, mteja hutiwa sahihi kwa ufunguo wa faragha unaolingana na cheti chake, na seva huthibitisha sahihi hiyo dhidi ya CA inayoiamini. Hakuna chochote katika mazungumzo hayo kinachoeleza mashine. Kifaa chochote kinachomiliki cheti na ufunguo huzalisha sahihi inayofanana, kwa hivyo wasifu ulionakiliwa kwenye kompyuta ya pili ya mkononi huonekana sawa kabisa na asili. Cheti hutaja utambulisho; hakitaji vifaa.
Upekee kwa kila kifaa bado una thamani, kwa sababu hufanya ubatilishaji kuwa sahihi. Ni sifa ya kiutawala, si kufuli la kiufundi.
Viwango vitatu vya kuhifadhi ufunguo
Kiwango cha kwanza ni faili la ufunguo kwenye diski. Linaweza kuhamishwa kwa muundo wake, na hapo ndipo wasifu wengi wa OpenVPN wanaishi.
Kiwango cha pili ni ufunguo ambao mfumo wa uendeshaji unautia alama ya kutoweza kuhamishwa nje. Windows inaweza kuzalisha ufunguo wa kifaa katika ghala lake la vyeti na kukataa uhamishaji wa kawaida, jambo linalozuia kunakili kwa bahati. Haukutegemea vifaa, na kwa ufikiaji wa kutosha wa mashine funguo kama hizo zinaweza kurejeshwa, kwa hivyo huongeza taabu badala ya kujenga ukuta.
Kiwango cha tatu ni ufunguo unaozalishwa ndani ya vifaa vya usalama: TPM, kadi mahiri, SIM au tokeni ya PIV. Moduli hizo hazina mzunguko wa kuhamisha nje ufunguo zilizouzalisha, na utiaji sahihi hufanyika ndani ya moduli. Ufunguo kamwe haufanyiki faili ambalo mtu yeyote anaweza kunakili.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Jedwali hilo ni hoja yote katika safu tatu.
Easy-rsa inaweza na haiwezi kufanya nini
Kutoa cheti kwa kila kifaa ni jambo la moja kwa moja. Tengeneza jina la kawaida tofauti kwa kila kifaa dhidi ya CA ile ile, kwa mfano ./easyrsa build-client-full laptop-a nopass, na urudie kwa kila kifaa. Andika ni jina gani la kawaida linamhusu mtu gani na mashine gani.
Ubatilishaji ni wa moja kwa moja vile vile: ./easyrsa revoke laptop-a, zalisha upya CRL kwa ./easyrsa gen-crl, na hakikisha seva inaisoma kweli kupitia crl-verify.
Ambayo CA haiwezi kufanya ni kuthibitisha mahali ufunguo wa faragha unapoishi baadaye. Ukizalisha ufunguo kwenye mwenyeji wa CA na kuunakili hadi kwenye kifaa, umeunda nakala ya pili wakati wa kutoa. Ufunguo usioweza kuhamishwa nje lazima uzalishwe kwenye kifaa, au uingizwe kwenye vifaa ambavyo havitautoa.
Vidhibiti vinavyostahimili wasifu ulionakiliwa
Dhana kwamba wasifu unaweza kunakiliwa na ubuni kuzunguka hilo. Funga akaunti na kipengele cha pili ili cheti peke yake kisitoshe. Ipe kila kifaa sera yake ili ufikiaji wa utambulisho mmoja ubaki mdogo. Na angalia jina lile lile la kawaida likiunganishwa kwa wakati mmoja kutoka anwani mbili, ambayo ndiyo sura ya wasifu unaoshirikiwa katika kumbukumbu ya miunganisho.
Ubatilishaji wa haraka na ulioandikwa ni kidhibiti kinachofanya kazi bado baada ya nakala kutokea. Kila kitu kingine ni kinga.
Madai ambayo seva inaweza kuyategemea kweli
Upekee unatoka kwa CA. Ufungaji wa kifaa unatoka kwa uhifadhi wa ufunguo. Ni vifaa pekee visivyoweza kuhamisha nje ufunguo wake vinavyobadilisha cheti kimoja kwa kila kifaa kuwa dai ambalo seva inalitekeleza, badala ya sera ambayo kila mtu anakubali kuifuata.