Kwa nini funguo za seva na vitambulisho vya mtumiaji vinahitaji wamiliki tofauti

Ufunguo unaothibitisha kuwa lango lako ni lenyewe na kitambulisho kinachosema kuwa mtu anaweza kujiunga vyote ni siri, na hapo ndipo mfanano unaishia. Kimoja hutambulisha huduma kwa kila mteja; kingine hutambulisha mtumiaji mmoja kwa huduma hiyo. Kuzichanganya kunaokoa hatua moja wakati wa usanidi na kugharimu mchana mmoja wakati wa tukio, kwa sababu urejeshaji wa kila kimoja si operesheni moja. Mgawanyiko ni wa kuchosha kusanidi na unakumbukwa ukiupuuzwa.

Siri mbili, wamiliki wawili tofauti

Lango huhifadhi ufunguo wa faragha au cheti ambao kazi yao pekee ni kuthibitisha utambulisho wake wakati wa kupeana mikono. Wateja wanahitaji nyenzo za umma zinazolingana ili kuzithibitisha, na hawahitaji kamwe nusu ya faragha. Hiyo tofauti ndiyo inayowezesha uthibitishaji wa seva bila kumpa kila mtumiaji uwezo wa kuiga seva.

Nyenzo za mtumiaji huenda upande mwingine. Ufunguo wa faragha wa mteja, cheti cha mteja au nenosiri huonyesha kuwa mtu huyu au kifaa hiki mahususi kilipewa ufikiaji. Inatarajiwa kusambazwa, kunakiliwa kati ya vifaa na hatimaye kufutwa.

WireGuard hufanya mgawanyiko uwe wazi kwa sababu kila mshiriki ana jozi ya funguo: ufunguo wa faragha wa seva hubaki kwenye seva, na faili ya usanidi unayompa mtumiaji ina ufunguo wake wa faragha pamoja na ufunguo wa umma wa seva. Wasifu ulio na ufunguo wa faragha wa seva si njia ya mkato, ni maafikiano yanayosubiri kushiriki faili.

Maswali matatu yanayoamua mgawanyiko

Uliza ni nani anayepaswa kuweza kusoma siri, kile ufichuzi ungemruhusu mshambuliaji kufanya, na kama suluhisho ni kufuta moja au kujenga upya huduma.

Ikiwa mtumiaji anaweza kuisoma na inathibitisha utambulisho wa lango, jibu la swali la pili ni kwamba mshambuliaji anaweza kuiga seva yako mbele ya kila mteja — hilo ni tokeo baya zaidi, kwa sababu wateja wameundwa kuamini utambulisho huo. Ikiwa inathibitisha mtumiaji mmoja tu, ufichuzi unampa mtumiaji huyo ufikiaji wa rika mmoja, na kufuta ni operesheni ya kawaida. Ikiwa ni ufunguo wa mamlaka ya vyeti, ufichuzi ni mbaya zaidi kuliko vyote viwili, kwa kuwa mshambuliaji anaweza kuunda vitambulisho ambavyo kila kituo cha mwisho kinaamini.

Majibu hayo matatu hutoa kanuni ya uhifadhi: ufunguo wa CA huishi nje ya mtandao au kwenye kasafu, ufunguo wa lango huishi kwenye lango, na funguo za watumiaji huishi kwa watumiaji. Mpangilio wowote unaoweka zote tatu katika saraka moja kwa urahisi umegeuza uamuzi kuwa ajali.

Kile mteja anahitaji kwa kweli

Mteja anahitaji cheti cha umma au ufunguo wa umma wa rika, nyenzo za CA au alama ya kidole anayopaswa kuamini, ufunguo wake wa faragha na maelezo ya kituo cha mwisho. Orodha hiyo haina kitu chochote cha utambulisho wa faragha wa lango.

Nyaraka ndiko kunakotokea uvujaji huu. Mwongozo unaosema nakili saraka ya seva na futa usichokihitaji tayari umefundisha muundo mbaya, kwa sababu faili inayobaki baada ya hatua ya kufuta ni nadra mtu yeyote kuikagua.

Futa mtumiaji mmoja bila kugusa lango

Kwa kuwa vitambulisho vya watumiaji hutolewa kando, vinaweza kuondolewa kando. Usambazaji unaotegemea vyeti hufuta cheti cha mteja na kuchapisha orodha mpya ya kufuta; usambazaji wa WireGuard huondoa ingizo la rika kwenye usanidi wa seva. Hakuna operesheni hizo inayobadilisha ufunguo wa lango lenyewe.

Hifadhi rekodi ya utoaji, vinginevyo hutajua ni utambulisho upi wa kuondoa. Lahajedwali inatosha, mradi itataja mtu, kifaa, nambari ya mfululizo au ufunguo wa umma na tarehe, na mradi mtu anaisimamia baada ya mtu aliyeijenga kuondoka.

Amri zifuatazo hukagua cheti cha mteja kisha kukifuta kupitia mamlaka ya mtindo wa OpenSSL, ambayo ni mtiririko ambao easy-rsa huufunga:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Chapisha orodha mpya mahali ambapo wateja wanaikagua, vinginevyo kufuta ni dokezo katika faili lisilobadilisha chochote. Ikiwa lango lako linakubali vyeti vya mteja bila kuangalia orodha ya kufuta, sema hivyo waziwazi badala ya kudokeza kuwa kufuta kunafanya kazi.

Hifadhi nakala rudufu kando kama siri

Kumbukumbu ya kujenga upya ina ufunguo wa lango na nyenzo za CA kihalali, kwa sababu bila hizo urejeshaji hauwezi kuzalisha huduma tena. Kifurushi cha usanidi wa mteja hakipaswi, na vyote viwili havipaswi kuhifadhiwa pamoja. Weka lebo kwenye kila kumbukumbu kulingana na nani anaweza kuihifadhi, si tarehe iliyoundwa. Lebo hiyo ndiyo ambayo msimamizi aliyechoka husoma saa mbili usiku.

Tofauti hiyo pia huamua nani anaweza kupata kila moja. Kusimamia lango, kutoa vitambulisho vya watumiaji na kusoma nakala rudufu ni mamlaka matatu tofauti, na mtu anayehitaji moja hahitaji kingine kiotomatiki. Andika ruhusa hizo, kisha zikague dhidi ya kile hifadhi yako inaruhusu kweli, kwa sababu urithi wa saraka hutoa kwa utulivu zaidi ya ilivyokusudiwa na sera.