ஒரு சாதனத்திற்கு ஒரு சான்றிதழ் இருப்பதால் விசை சாதனத்துடன் பிணைக்கப்படுவதில்லை
ஒவ்வொரு சாதனத்திற்கும் தனிச் சான்றிதழ் என்பது நிர்வாகியின் தேர்வு, சாதனப் பிணைப்பு அல்ல. பிணைப்பைத் தீர்மானிப்பது தனிச் சாவி எங்கே உள்ளது என்பதுதான்: நகலெடுக்கக்கூடிய கோப்பிலிருந்து TPM வரை.
ஒவ்வொரு மடிக்கணினிக்கும் தனிச் சான்றிதழ் வழங்குவதால், VPN அவற்றை வேறுபடுத்திப் பார்க்க முடியும் என்று நீங்கள் கருதுகிறீர்கள். அது முடியாது. வாடிக்கையாளர் சான்றிதழ் நிரூபிப்பது என்னவென்றால், இணைபவர் பொருந்தும் தனிச் சாவியை வைத்திருக்கிறார் என்பதையும், நகலெடுக்கப்பட்ட சுயவிவரமும் அதை வைத்திருக்கிறது என்பதையும் தான்.
சாதனத்திற்கு ஒரு சான்றிதழ் என்பது இன்னும் நல்ல யோசனையே. அது பெரும்பாலானோர் எதிர்பார்ப்பதை விட வேறு வேலையையே செய்கிறது.
வாடிக்கையாளர் சான்றிதழ் உண்மையில் எதை நிரூபிக்கிறது
இணைப்பு உருவாகும் நேரத்தில் வாடிக்கையாளர் தன் சான்றிதழுடன் பொருந்தும் தனிச் சாவியால் கையொப்பமிடுகிறார், சேவையகம் தான் நம்பும் CA-வுடன் அந்தக் கையொப்பத்தைச் சரிபார்க்கிறது. அந்தப் பரிமாற்றத்தில் எதுவும் இயந்திரத்தை விவரிக்கவில்லை. சான்றிதழையும் சாவியையும் வைத்திருக்கும் எந்தச் சாதனமும் ஒரே மாதிரியான கையொப்பத்தை உருவாக்கும், எனவே இரண்டாவது மடிக்கணினிக்கு நகலெடுக்கப்பட்ட சுயவிவரம் மூலத்தைப் போலவே தோற்றமளிக்கும். சான்றிதழ் ஒரு அடையாளத்தைப் பெயரிடுகிறது; வன்பொருளைப் பெயரிடுவதில்லை.
சாதனத்திற்கான தனித்தன்மை இன்னும் பயனளிக்கிறது, ஏனெனில் அது ரத்தைத் துல்லியமாக்குகிறது. அது நிர்வாகப் பண்பு, தொழில்நுட்பப் பூட்டு அல்ல.
சாவி சேமிப்பின் மூன்று நிலைகள்
முதல் நிலை வட்டில் உள்ள சாவிக் கோப்பு. அது வடிவமைப்பிலேயே எடுத்துச் செல்லக்கூடியது, பெரும்பாலான OpenVPN சுயவிவரங்கள் அங்கேயே உள்ளன.
இரண்டாவது நிலை, இயக்க முறைமை ஏற்றுமதி செய்ய முடியாதது எனக் குறிக்கும் சாவி. Windows தன் சான்றிதழ்க் களஞ்சியத்தில் சாதனச் சாவியை உருவாக்கி சாதாரண ஏற்றுமதியை மறுக்க முடியும், இது தற்செயலான நகலெடுப்பைத் தடுக்கிறது. இது வன்பொருள் ஆதரவு இல்லாதது, இயந்திரத்திற்குப் போதுமான அணுகல் இருந்தால் அத்தகைய சாவிகளை மீட்டெடுக்க முடியும், எனவே சுவர் கட்டுவதற்குப் பதிலாக முயற்சியை மட்டுமே உயர்த்துகிறது.
மூன்றாவது நிலை, பாதுகாப்பு வன்பொருளுக்குள் உருவாக்கப்படும் சாவி: TPM, ஸ்மார்ட் கார்டு, SIM அல்லது PIV டோக்கன். அந்தத் தொகுதிகளில் தாங்கள் உருவாக்கிய சாவியை ஏற்றுமதி செய்யும் சுற்று இல்லை, கையொப்பமிடுதல் தொகுதிக்குள்ளேயே நடக்கிறது. சாவி யாரும் நகலெடுக்கக்கூடிய கோப்பாக ஒருபோதும் மாறுவதில்லை.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
அந்த அட்டவணையே முழு வாதத்தையும் மூன்று வரிகளில் சொல்கிறது.
easy-rsa செய்யக்கூடியது, செய்ய முடியாதது
சாதனத்திற்கு ஒரு சான்றிதழ் வழங்குவது நேரடியானது. அதே CA-வுக்கு எதிராக ஒவ்வொரு சாதனத்திற்கும் தனிப் பொதுப் பெயரை உருவாக்குங்கள், எடுத்துக்காட்டாக ./easyrsa build-client-full laptop-a nopass, ஒவ்வொரு சாதனத்திற்கும் இதைச் செய்யுங்கள். எந்தப் பொதுப் பெயர் எந்த நபருக்கும் இயந்திரத்திற்கும் சொந்தம் என்பதைப் பதிவு செய்யுங்கள்.
ரத்தும் அதே அளவு நேரடியானது: ./easyrsa revoke laptop-a, ./easyrsa gen-crl மூலம் CRL-ஐ மீண்டும் உருவாக்குங்கள், சேவையகம் அதை crl-verify வழியாக உண்மையில் படிக்கிறதா என்பதை உறுதிசெய்யுங்கள்.
CA செய்ய முடியாதது, தனிச் சாவி பிறகு எங்கே உள்ளது என்பதைச் சரிபார்ப்பதுதான். CA ஹோஸ்ட்டில் சாவியை உருவாக்கி அதைச் சாதனத்திற்கு நகலெடுத்தால், வழங்கும் நேரத்திலேயே இரண்டாவது நகலை உருவாக்கிவிட்டீர்கள். ஏற்றுமதி செய்ய முடியாத சாவி சாதனத்திலேயே உருவாக்கப்பட வேண்டும், அல்லது அதை வெளியிடாத வன்பொருளுக்குள் இறக்குமதி செய்யப்பட வேண்டும்.
நகலெடுக்கப்பட்ட சுயவிவரத்தைத் தாண்டி நிற்கும் கட்டுப்பாடுகள்
சுயவிவரத்தை நகலெடுக்க முடியும் என்று கருதி அதைச் சுற்றி வடிவமைக்கவும். சான்றிதழ் மட்டும் போதாதபடி கணக்கை இரண்டாம் காரணியுடன் பிணைக்கவும். ஒரு அடையாளத்தின் எல்லை வரம்புக்குள் இருக்கும்படி ஒவ்வொரு சாதனத்திற்கும் அதன் சொந்தக் கொள்கையை வழங்கவும். அதே பொதுப் பெயர் ஒரே நேரத்தில் இரு முகவரிகளிலிருந்து இணைக்கப்படுவதைக் கவனியுங்கள், இணைப்புப் பதிவில் பகிரப்பட்ட சுயவிவரம் இப்படித்தான் தெரியும்.
விரைவானதும் ஆவணப்படுத்தப்பட்டதுமான ரத்தே, நகல் நடந்த பிறகும் செயல்படும் கட்டுப்பாடு. மற்ற அனைத்தும் தடுப்பே.
சேவையகம் உண்மையில் நம்பக்கூடிய கூற்று
தனித்தன்மை CA-விடமிருந்து வருகிறது. சாதனப் பிணைப்பு சாவி சேமிப்பிடத்திலிருந்து வருகிறது. தன் சாவியை ஏற்றுமதி செய்ய முடியாத வன்பொருள் மட்டுமே, அனைவரும் ஒப்புக்கொள்ளும் கொள்கையாக அல்லாமல், சேவையகம் நடைமுறைப்படுத்தும் கூற்றாக ஒரு சாதனத்திற்கு ஒரு சான்றிதழை மாற்றுகிறது.