சேவையக விசைகளும் பயனர் சான்றுகளும் ஏன் தனித்தனி உரிமையாளர்களைத் தேவைப்படுகின்றன

உங்கள் நுழைவாயில் தானே என்பதை நிரூபிக்கும் விசையும் ஒரு நபர் சேரலாம் என்று சொல்லும் சான்றும் இரண்டும் ரகசியங்கள், ஒற்றுமை அங்கே முடிகிறது. ஒன்று ஒவ்வொரு வாடிக்கையாளருக்கும் ஒரு சேவையை அடையாளப்படுத்துகிறது; மற்றொன்று அந்தச் சேவைக்கு ஒரு பயனரை அடையாளப்படுத்துகிறது. இரண்டையும் கலப்பது அமைப்பின்போது ஒரு படியைச் சேமிக்கிறது, ஒரு சம்பவத்தின்போது அரை நாளை இழக்கிறது, ஏனெனில் ஒவ்வொன்றின் மீட்பும் ஒரே செயல்பாடு அல்ல. பிரிப்பு அமைக்க சலிப்பானது, தவிர்க்க மறக்க முடியாதது.

இரண்டு ரகசியங்கள், இரண்டு வெவ்வேறு உரிமையாளர்கள்

நுழைவாயில் கைக்குலுக்கலின்போது தன் அடையாளத்தை நிரூபிப்பதே ஒரே பணியாகக் கொண்ட ஒரு தனிப்பட்ட விசையையோ சான்றிதழையோ வைத்திருக்கிறது. வாடிக்கையாளர்கள் அதைச் சரிபார்க்க பொருந்தும் பொது உருப்படி தேவை, தனிப்பட்ட பாதி அவர்களுக்கு ஒருபோதும் தேவைப்படாது. அந்தச் சமச்சீரற்ற தன்மையே ஒவ்வொரு பயனருக்கும் சேவையகத்தைப் போல நடிக்கும் திறனைக் கொடுக்காமல் சேவையக அங்கீகாரத்தை சாத்தியமாக்குகிறது.

பயனர் உருப்படி எதிர் திசையில் செல்கிறது. வாடிக்கையாளரின் தனிப்பட்ட விசை, வாடிக்கையாளர் சான்றிதழ் அல்லது கடவுச்சொல் இந்தக் குறிப்பிட்ட நபருக்கோ சாதனத்துக்கோ அணுகல் வழங்கப்பட்டதைக் காட்டுகிறது. இது விநியோகிக்கப்படும், சாதனங்களுக்கிடையே நகலெடுக்கப்படும், இறுதியில் ரத்து செய்யப்படும் என எதிர்பார்க்கப்படுகிறது.

WireGuard பிரிப்பைத் தெளிவாக்குகிறது, ஏனெனில் ஒவ்வொரு பங்கேற்பாளருக்கும் ஒரு விசை-இணை உள்ளது: சேவையகத்தின் தனிப்பட்ட விசை சேவையகத்திலேயே இருக்கும், பயனருக்குக் கொடுக்கும் கட்டமைப்பு கோப்பில் அவரது சொந்த தனிப்பட்ட விசையும் சேவையகத்தின் பொது விசையும் இருக்கும். சேவையகத்தின் தனிப்பட்ட விசையைக் கொண்ட சுயவிவரம் குறுக்குவழி அல்ல, அது கோப்புப் பகிர்வுக்குக் காத்திருக்கும் ஒரு சமரசம்.

பிரிப்பைத் தீர்மானிக்கும் மூன்று கேள்விகள்

ரகசியத்தை யார் படிக்க முடிய வேண்டும், வெளிப்பாடு தாக்குபவருக்கு என்ன செய்ய அனுமதிக்கும், தீர்வு ஒரு ரத்து செயலா அல்லது சேவையை மீண்டும் கட்டுவதா என்று கேளுங்கள்.

ஒரு பயனர் அதைப் படிக்க முடிந்தால், அது நுழைவாயிலின் அடையாளத்தை நிரூபித்தால், இரண்டாவது கேள்விக்கான பதில்: தாக்குபவர் ஒவ்வொரு வாடிக்கையாளர் முன்னிலும் உங்கள் சேவையகத்தைப் போல நடிக்க முடியும் — இதுவே மிக மோசமான விளைவு, ஏனெனில் வாடிக்கையாளர்கள் அந்த அடையாளத்தை நம்புவதற்கே வடிவமைக்கப்பட்டுள்ளனர். அது ஒரு பயனரை மட்டும் நிரூபித்தால், வெளிப்பாடு அந்தப் பயனருக்கு ஒரு இணைக்கான அணுகலைக் கொடுக்கும், ரத்து செய்வது வழக்கமான செயல்பாடு. அது சான்றிதழ் அதிகாரத்தின் விசையாக இருந்தால், வெளிப்பாடு இரண்டையும் விட மோசம், ஏனெனில் தாக்குபவர் ஒவ்வொரு முனையும் நம்பும் அடையாளங்களை உருவாக்க முடியும்.

அந்த மூன்று பதில்கள் சேமிப்பு விதியைத் தருகின்றன: CA விசை இணையமில்லாமல் அல்லது பாதுகாப்புப் பெட்டியில் வாழ்கிறது, நுழைவாயில் விசை நுழைவாயிலில் வாழ்கிறது, பயனர் விசைகள் பயனர்களுடன் வாழ்கின்றன. வசதிக்காக மூன்றையும் ஒரு கோப்பகத்தில் வைக்கும் எந்த ஏற்பாடும் ஒரு முடிவை விபத்தாக மாற்றியுள்ளது.

ஒரு வாடிக்கையாளருக்கு உண்மையில் என்ன தேவை

வாடிக்கையாளருக்கு பொது சான்றிதழ் அல்லது இணையின் பொது விசை, நம்ப வேண்டிய CA உருப்படி அல்லது விரல்ரேகை, தன் சொந்த தனிப்பட்ட விசை, முனையின் விவரங்கள் தேவை. அந்தப் பட்டியலில் நுழைவாயிலின் தனிப்பட்ட அடையாளத்துக்கு உரிய எதுவும் இல்லை.

ஆவணப்படுத்தல் தான் இது கசியும் இடம். சேவையகக் கோப்பகத்தை நகலெடுத்து தேவையற்றதை நீக்குங்கள் என்று சொல்லும் வழிகாட்டி ஏற்கனவே தவறான மாதிரியைக் கற்பித்துவிட்டது, ஏனெனில் நீக்கும் படிக்குப் பிறகு மீதமிருக்கும் கோப்பை யாரும் அரிதாகவே சரிபார்ப்பார்கள்.

நுழைவாயிலைத் தொடாமல் ஒரு பயனரை ரத்து செய்யுங்கள்

பயனர் அடையாளங்கள் தனித்தனியாக வழங்கப்படுவதால், அவற்றைத் தனித்தனியாகத் திரும்பப் பெறலாம். சான்றிதழ் அடிப்படையிலான பயன்பாடு வாடிக்கையாளர் சான்றிதழை ரத்து செய்து புதுப்பிக்கப்பட்ட ரத்து பட்டியலை வெளியிடுகிறது; WireGuard பயன்பாடு சேவையகக் கட்டமைப்பிலிருந்து இணைப் பதிவை நீக்குகிறது. அந்தச் செயல்களில் எதுவும் நுழைவாயிலின் சொந்த விசையை மாற்றாது.

வழங்கல் பதிவை வைத்திருங்கள், இல்லையேல் எந்த அடையாளத்தைத் திரும்பப் பெற வேண்டும் என்று தெரியாது. விரிதாள் போதும், அதில் நபர், சாதனம், வரிசை எண் அல்லது பொது விசை மற்றும் தேதி குறிப்பிடப்பட்டால், அதை உருவாக்கிய நபர் சென்ற பிறகும் யாராவது அதைப் பராமரித்தால்.

கீழே உள்ள கட்டளைகள் ஒரு வாடிக்கையாளர் சான்றிதழைச் சரிபார்த்து, பின்னர் OpenSSL பாணி அதிகாரத்தின் மூலம் அதை ரத்து செய்கின்றன, easy-rsa இதே ஓட்டத்தைச் சுற்றுகிறது:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

புதிய பட்டியலை வாடிக்கையாளர்கள் சரிபார்க்கும் இடத்திலேயே வெளியிடுங்கள், இல்லையேல் ரத்து என்பது எதையும் மாற்றாத ஒரு கோப்பில் உள்ள குறிப்பு. உங்கள் நுழைவாயில் ரத்து பட்டியலைப் பார்க்காமல் வாடிக்கையாளர் சான்றிதழ்களை ஏற்றுக்கொண்டால், ரத்து வேலை செய்கிறது என்பதைப் போலக் குறிப்பிடாமல் அதை வெளிப்படையாகச் சொல்லுங்கள்.

காப்புப்பிரதிகளை ரகசியங்களைப் போலவே தனித்தனியாக வைத்திருங்கள்

மறுகட்டமைப்பு காப்பகத்தில் நுழைவாயில் விசையும் CA உருப்படியும் சட்டப்படி இருக்கும், ஏனெனில் அவை இல்லாமல் மீட்பு சேவையை மீண்டும் உருவாக்க முடியாது. வாடிக்கையாளர் அமைப்புத் தொகுப்பில் இருக்கக்கூடாது, இரண்டையும் ஒன்றாகச் சேமிக்கக்கூடாது. ஒவ்வொரு காப்பகத்தையும் யார் வைத்திருக்கலாம் என்பதன் அடிப்படையில் லேபிள் செய்யுங்கள், உருவாக்கப்பட்ட தேதியின் அடிப்படையில் அல்ல. சோர்வடைந்த நிர்வாகி இரவு இரண்டு மணிக்குப் படிப்பது அந்த லேபிளையே.

இந்த வேறுபாடு ஒவ்வொன்றையும் யார் பெறலாம் என்பதையும் தீர்மானிக்கிறது. நுழைவாயிலை நிர்வகித்தல், பயனர் அடையாளங்களை வழங்குதல், காப்புப்பிரதிகளைப் படித்தல் ஆகியவை மூன்று வெவ்வேறு அதிகாரங்கள், ஒன்று தேவைப்படுபவருக்கு மற்றவை தானாகத் தேவைப்படாது. அந்த அனுமதிகளை எழுதி வைத்து, பின்னர் உங்கள் சேமிப்பு உண்மையில் என்ன அனுமதிக்கிறது என்பதுடன் அவற்றைச் சரிபாருங்கள், ஏனெனில் கோப்பக வாரிசுரிமை கொள்கை நினைப்பதை விட அதிகமாக அமைதியாகக் கொடுக்கிறது.