VPN தனிப்பட்ட திறவுகோல் எங்கு வாழ வேண்டும்: கோப்பு, CNG அல்லது TPM?

VPN தனிப்பட்ட திறவுகோல் எங்கு இருக்க வேண்டும் என்பதை இரண்டு கேள்விகள் தீர்மானிக்கின்றன: திறவுகோல் பொருளை ஹோஸ்ட்டிலிருந்து நகலெடுக்க முடியுமா, மற்றும் ஒரு செயல்முறை விசைப்பலகையில் யாரும் இல்லாமல் அதைப் பயன்படுத்த முடியுமா. ஒரு கிடங்கின் சந்தைப்படுத்தல் லேபிள் இரண்டிற்கும் பதில் சொல்லாது. மறுதொடக்கத்திற்குப் பிறகு திரும்ப வேண்டிய சுரங்கப்பாதை டீமனுக்கு கண்காணிப்பற்ற பயன்பாடு தேவை, இது மனிதர் தட்டச்சு செய்யும் PIN-ஐச் சார்ந்த எதையும் விலக்குகிறது.

நகலெடுத்தல் மற்றும் பயன்பாட்டிற்கிடையே தேர்ந்தெடுங்கள்

நகலெடுத்தல் மற்றும் பயன்பாடு வெவ்வேறு வழிகளில் தோல்வியடைகின்றன, எனவே அவற்றை ஒன்றல்ல இரண்டு தேவைகளாகக் கருதுங்கள். திறவுகோலின் பைட்டுகளைப் படிக்கக்கூடிய தாக்குபவர் அடையாளத்தை வேறு ஹோஸ்ட்டுக்கு எடுத்துச் செல்கிறார், அசல் இயந்திரம் அதைக் கவனிக்காது. பைட்டுகளைப் படிக்க முடியாது ஆனால் கையொப்ப செயல்முறையை அடையக்கூடிய தாக்குபவர் அந்த அணுகல் நீடிக்கும் வரை அங்கீகரிக்கப்படுகிறார்.

கோப்பில் உள்ள திறவுகோல் எளிதில் நகலெடுக்கப்படும், அதனால்தான் அதை காப்புப்பிரதி எடுத்து மீட்டெடுப்பது மிக எளிது. மென்பொருள் திறவுகோல் கிடங்கு API-ஐ மாற்றுகிறது, எல்லையை அல்ல: வழங்குநர் தனது சொந்த ஏற்றுமதி அழைப்புகளை மறுக்கிறார், ஆனால் திறவுகோலை நிறுவிய அதே நிர்வாகி சூழலுக்கு பொருளை அடைய வேறு வழிகள் பொதுவாக உள்ளன. மென்பொருள் வழங்குநரில் ஏற்றுமதி செய்ய முடியாதது என்பது ஆதரிக்கப்படும் செயல்பாடுகள் பற்றிய அறிக்கை, வன்பொருள் சுவருக்கான ஆதாரம் அல்ல. இதை எதேச்சையான நகலெடுத்தலுக்கு எதிரான வேகத்தடையாகக் கருதுங்கள், ஏற்கனவே உங்கள் அமர்வை வைத்திருப்பவருக்கு எதிரான பாதுகாப்பாக அல்ல.

TPM அல்லது ஸ்மார்ட் கார்டு கையொப்ப செயல்பாட்டை வன்பொருளுக்குள் செய்து முடிவை மட்டும் திருப்பித் தருகிறது. இது நகலெடுக்கும் பாதையை மூடி, பயன்பாட்டுப் பாதையை கையொப்பம் கேட்கக்கூடிய எதற்கும் திறந்து வைக்கிறது.

கிடங்கை சுரங்கப்பாதை டீமனுடன் பொருத்துங்கள்

டீமன் இதை பாதுகாப்புக் கொள்கையை விட அதிகம் கட்டுப்படுத்துகிறது. WireGuard கோப்பு அல்லது wg set உள்ளீட்டிலிருந்து base64 தனிப்பட்ட திறவுகோலை எடுத்துக்கொள்கிறது, சான்றிதழ் கிடங்கிற்கு வழி இல்லை, எனவே TPM ஆதரவு இடைமுகத் திறவுகோல் கேள்விக்குரியது அல்ல. OpenSSL 3-க்கு எதிராக கட்டப்பட்ட OpenVPN வழங்குநர் URI மூலம் திறவுகோலை ஏற்றலாம், strongSwan PKCS#11 ஆதரவுடன் TPM செருகுநிரலை வழங்குகிறது, ஆனால் இரண்டும் உங்கள் தொகுப்பு எவ்வாறு தொகுக்கப்பட்டது என்பதைப் பொறுத்தது.

தேர்ந்தெடுத்த கிடங்கை அடைய முடியாத டீமன் வன்பொருள் எல்லையை அலங்காரமாக மாற்றுகிறது. யாரோ திறவுகோலை ஒருமுறை ஏற்றுமதி செய்து கோப்பில் விட்டுவிடுகிறார், மீதமுள்ள வடிவமைப்பு அந்த நகலில் அமைதியாக இயங்குகிறது.

புதுப்பித்தல் பொருத்தத்தின் மறுபாதி, இங்குதான் பெரும்பாலான வடிவமைப்புகள் உடைகின்றன. முதல் பதிவில் வேலை செய்யும் ஆனால் ஒவ்வொரு மறுவெளியீட்டிற்கும் கன்சோல் உள்நுழைவு கேட்கும் கிடங்கு, ஒரு சான்றிதழ் சங்கடமான நேரத்தில் காலாவதியாகும் முதல் முறையில் தவிர்க்கப்படுகிறது. தற்போதைய திறவுகோலுக்கு இன்னும் மாதங்கள் இருக்கும்போது மறுவெளியீட்டுப் பாதையைச் சோதியுங்கள்.

திறவுகோலை நகர்த்துவதற்கு முன் பட்டியலிடுங்கள்

திறவுகோல் என்ன, அது எங்கு வாழ்கிறது என்பதை மாற்றுவதற்கு முன் பதிவு செய்யுங்கள், ஏனெனில் subject alternative names இழக்கும் இடமாற்றம் சுரங்கப்பாதையை வழித்தடப் பிழையாகப் படிக்கும் வகையில் உடைக்கிறது. சான்றிதழை டம்ப் செய்யுங்கள், தனிப்பட்ட திறவுகோல் டீமன் எதிர்பார்க்கும் இடத்தில் படிக்கக்கூடியதா என உறுதிப்படுத்துங்கள், மேலும் இணை உண்மையில் பொருந்துகிறதா எனச் சரிபாருங்கள்.

openssl x509 -in vpn.crt -noout -subject -ext subjectAltName
openssl pkey -in vpn.key -check -noout
openssl x509 -in vpn.crt -noout -pubkey | openssl sha256
openssl pkey -in vpn.key -pubout | openssl sha256

கடைசி இரண்டு சுருக்கங்கள் ஒரே மாதிரியாக இருக்க வேண்டும். இல்லையெனில் டீமன் அமைப்பை முடித்துவிட்டு பின்னர் ஒவ்வொரு முயற்சியிலும் சான்றிதழ் அல்லது கையொப்ப பிழையுடன் தோல்வியடைகிறது, அது உண்மையான காரணத்திற்கு அருகில் எங்கும் சுட்டவில்லை. WireGuard சமமானது குறைவு, ஏனெனில் பொது திறவுகோல் நேரடியாக தனிப்பட்டதிலிருந்து பெறப்படுகிறது: wg pubkey < /etc/wireguard/wg0.key உங்கள் சேவையகம் ஏற்கனவே சேமித்துள்ள சக திறவுகோலை அச்சிட வேண்டும்.

அனுமதிகள் அதே பட்டியலுக்கு சொந்தமானவை. stat -c '%a %U:%G' /etc/wireguard/wg0.key 600 root:root திருப்பித் தர வேண்டும், மேலும் குழு அல்லது உலகத்திற்குப் படிக்கக்கூடிய எதுவும் திறவுகோல் ஏற்கனவே நீங்கள் நினைத்திராத செயல்முறைகளுக்குக் கிடைத்திருந்தது என்பதைக் குறிக்கிறது.

கிடங்கையும் பயன்பாட்டுப் பாதையையும் சரிபாருங்கள்

சரிபார்ப்பில் மூன்று பகுதிகள் உள்ளன, மூன்றாவது தான் தவிர்க்கப்படுகிறது. திறவுகோல் நீங்கள் தேர்ந்தெடுத்த கிடங்கில் உள்ளதா என உறுதிப்படுத்துங்கள், டீமன் அந்தத் திறவுகோலையே ஏற்றியதா மீதமுள்ள நகலை அல்ல என உறுதிப்படுத்துங்கள், பின்னர் ஏற்றுமதிக் கலைப்பொருள் சென்ற பிறகும் அது தொடங்குகிறதா என உறுதிப்படுத்துங்கள்.

certutil -store -user My
certutil -csp "Microsoft Platform Crypto Provider" -key -user
certutil -verifykeys -user My
ipsec listcerts

Windows இல் முதல் கட்டளை தனிப்பட்ட கிடங்கைப் பட்டியலிட்டு ஒவ்வொரு உள்ளீட்டின் அருகிலும் திறவுகோல் வழங்குநரை அச்சிடுகிறது, அங்குதான் வன்பொருளால் ஆதரிக்கப்பட்டதாகத் தோன்றும் ஆனால் மென்பொருள் வழங்குநரில் அமர்ந்திருக்கும் சான்றிதழ் தோன்றுகிறது. இரண்டாவது தளத்தின் குறியாக்க வழங்குநர் வைத்திருக்கும் திறவுகோல்களைப் பட்டியலிடுகிறது, எனவே அங்கு இல்லாத VPN அடையாளம் அதன் சான்றிதழ் இருக்கும்போது, தனிப்பட்ட பாதி வேறு எங்கோ வாழ்கிறது என்பதைக் குறிக்கிறது. Linux நுழைவாயிலில் ipsec listcerts strongSwan என்ன ஏற்றியது என்பதை, TPM செருகுநிரலிலிருந்து வந்த திறவுகோல்கள் உட்படத் தெரிவிக்கிறது. உள்ளீடுகளின் எண்ணிக்கையை நம்புவதற்குப் பதிலாக கைரேகைகள் அல்லது பொது திறவுகோல் ஹாஷ்களைப் பட்டியலுடன் ஒப்பிடுங்கள்.

எதிர்மறைச் சோதனைதான் வடிவமைப்பை நிரூபிக்கிறது. ஏற்றுமதி செய்யப்பட்ட திறவுகோலை டீமனின் கட்டமைப்பு அடைவிலிருந்து வெளியே நகர்த்துங்கள், சேவையை மீண்டும் தொடங்குங்கள், பதிவில் அது எந்த அடையாளத்தை வழங்குகிறது எனப் படியுங்கள். இருந்தும் மேலெழும் சுரங்கப்பாதை கிடங்கைப் பயன்படுத்துகிறது; தோல்வியடைந்த தொடக்கம் வடிவமைப்பு உண்மையில் ஒரு நகலில் இயங்கியது என்பதைக் குறிக்கிறது.

புதுப்பித்தலையும் திரும்புதலையும் எழுதுங்கள்

திரும்புதல் இரு குடும்பங்களுக்கிடையே கூர்மையாக வேறுபடுகிறது, அந்த வேறுபாடு வடிவமைப்புக் குறிப்புக்கு உரியது, சம்பவ அழைப்புக்கு அல்ல. கோப்புத் திறவுகோலை மறையாக்கி காப்புப்பிரதி எடுத்து மீட்டெடுக்கலாம், எனவே தோல்வியடைந்த இடமாற்றம் திருப்பக்கூடியது. ஏற்றுமதி செய்ய முடியாத திறவுகோலை காப்புப்பிரதி எடுக்கவே முடியாது, இது சாதனம் இறக்கும்போது மறுவெளியீடு மற்றும் மறுபதிவை ஒரே மீட்பு வழியாக்குகிறது.

காலாவதியை இடையூறாக மாறும் முன் சரிபாருங்கள்: openssl x509 -in vpn.crt -noout -checkend 2592000 சான்றிதழ் முப்பது நாட்களுக்குள் காலாவதியாகும்போது பூஜ்ஜியமல்லாத குறியீட்டுடன் முடிகிறது, எனவே அது நேரடியாக கண்காணிப்புச் சரிபார்ப்பில் இடம்பெறுகிறது. அந்த வரியின் வாராந்திர இயக்கம் யாரும் திட்டமிடாத புதுப்பித்தலைப் பிடிக்கிறது.

அகற்றுதல் சேவையகத்தில் நடக்கிறது: சகவனை நீக்குங்கள் அல்லது வரிசை எண்ணை ரத்து செய்யுங்கள், பின்னர் சுரங்கப்பாதை தோல்வியடைவதை உறுதிப்படுத்துங்கள், ஏனெனில் தற்காலிகச் சேமிப்பு அமர்வு உள்ள வாடிக்கையாளர் பாதி முடிந்த ரத்தை சிறிது நேரம் மறைக்கலாம். ரத்து CA தரவுத்தளத்திற்கு மட்டுமல்ல, செறிவாக்கியின் CRL அல்லது OCSP பாதைக்கும் செல்ல வேண்டும். சான்றிதழ் ஒரு பொது ஆவணம், RFC 5280 சுயவிவரம் அது எவ்வாறு சரிபார்க்கப்படுகிறது என்பதை உள்ளடக்குகிறது; அந்தச் சரிபார்ப்பில் எதுவும் சுழற்சிக்கு முன் நகலெடுக்கப்பட்ட தனிப்பட்ட திறவுகோலைப் பாதுகாக்காது.

முடிவை ஒரே இடத்தில் எழுதுங்கள்: எந்தக் கிடங்கு திறவுகோலை வைத்திருக்கிறது, எந்தச் செயல்முறை அதைப் பயன்படுத்தலாம், யார் அதை மறுவெளியீடு செய்யலாம், திரும்புதல் என்ன. அந்தப் பத்திதான் தணிக்கையாளர்கள் கேட்பது, மற்றும் பணியாளர் மாற்றத்திலிருந்து தப்பிப்பது.