Sunucu anahtarları ile kullanıcı kimlik bilgileri neden ayrı sahiplerde olmalı

Ağ geçidinizin kendisi olduğunu kanıtlayan anahtar ile bir kişinin katılabileceğini söyleyen kimlik bilgisi birer sırdır; benzerlik burada biter. Biri bir hizmeti her istemciye tanıtır, diğeri bir kullanıcıyı o hizmete tanıtır. İkisini karıştırmak kurulumda bir adım kazandırır, olay anında ise bir öğleden sonraya mal olur, çünkü her birinin kurtarılması aynı işlem değildir. Ayrımı kurmak sıkıcıdır, atlamak ise akılda kalıcıdır.

İki sır, iki farklı sahip

Ağ geçidi, tek görevi el sıkışma sırasında kimliğini kanıtlamak olan bir özel anahtar ya da sertifika barındırır. İstemcilerin bunu doğrulamak için eşleşen açık materyale ihtiyacı vardır ve özel yarıya hiçbir zaman ihtiyaç duymazlar. Sunucu kimlik doğrulamasını, her kullanıcıya sunucuyu taklit etme yeteneği vermeden mümkün kılan şey bu asimetridir.

Kullanıcı materyali ters yöndedir. Bir istemci özel anahtarı, istemci sertifikası ya da parola, bu belirli kişiye veya cihaza erişim verildiğini gösterir. Dağıtılması, cihazlar arasında kopyalanması ve sonunda iptal edilmesi beklenir.

WireGuard ayrımı apaçık yapar çünkü her katılımcının bir anahtar çifti vardır: sunucunun özel anahtarı sunucuda kalır ve bir kullanıcıya verdiğiniz yapılandırma dosyası kullanıcının kendi özel anahtarını artı sunucunun açık anahtarını içerir. Sunucunun özel anahtarını içeren bir profil kestirme değil, bir dosya paylaşımını bekleyen bir ele geçirme.

Ayrımı belirleyen üç soru

Sırrı kimin okuyabilmesi gerektiğini, bir açığa çıkmanın saldırgana ne yaptıracağını ve çözümün tek bir iptal mi yoksa hizmetin yeniden kurulması mı olduğunu sorun.

Bir kullanıcı okuyabiliyorsa ve ağ geçidinin kimliğini kanıtlıyorsa, ikinci sorunun yanıtı saldırganın her istemciye karşı sizin sunucunuz gibi davranabileceğidir — en kötü sonuç, çünkü istemciler o kimliğe güvenmek üzere tasarlanmıştır. Yalnızca tek bir kullanıcıyı kanıtlıyorsa, açığa çıkma o kullanıcının tek bir eşe erişimini verir ve iptal olağan bir işlemdir. Bir sertifika otoritesi anahtarıysa, açığa çıkma ikisinden de kötüdür, çünkü saldırgan her uç noktanın güvendiği kimlikler üretebilir.

Bu üç yanıt saklama kuralını doğurur: CA anahtarı çevrimdışı ya da bir kasada yaşar, ağ geçidi anahtarı ağ geçidinde yaşar ve kullanıcı anahtarları kullanıcılarla birlikte yaşar. Üçünü kolaylık olsun diye tek bir dizine koyan her düzen, bir kararı kazaya dönüştürmüştür.

Bir istemcinin gerçekte neye ihtiyacı var

Bir istemcinin açık sertifikaya ya da açık eş anahtarına, güvenmesi gereken CA materyaline ya da parmak izine, kendi özel anahtarına ve uç nokta ayrıntılarına ihtiyacı vardır. Bu listede ağ geçidinin özel kimliğine ait hiçbir şey yoktur.

Sızıntı belgelerde olur. Sunucu dizinini kopyalayıp ihtiyacınız olmayanı silin diyen bir kılavuz yanlış modeli çoktan öğretmiştir, çünkü silme adımından sonra kalan dosyayı neredeyse kimse denetlemez.

Ağ geçidine dokunmadan tek bir kullanıcıyı iptal edin

Kullanıcı kimlikleri ayrı ayrı verildiği için ayrı ayrı geri çekilebilirler. Sertifika tabanlı bir kurulum istemci sertifikasını iptal eder ve güncellenmiş bir iptal listesi yayımlar; bir WireGuard kurulumu eş girdisini sunucu yapılandırmasından kaldırır. Bu işlemlerin hiçbiri ağ geçidinin kendi anahtarını değiştirmez.

Verme kaydını tutun, yoksa hangi kimliğin geri çekileceğini bilemezsiniz. Kişiyi, cihazı, seri numarasını ya da açık anahtarı ve tarihi adlandırdığı ve onu kuran kişi ayrıldıktan sonra birinin sahiplendiği sürece bir elektronik tablo yeterlidir.

Aşağıdaki komutlar bir istemci sertifikasını inceler ve ardından OpenSSL tarzı bir otorite aracılığıyla iptal eder; easy-rsa bu akışı sarmalar:

openssl x509 -in client.crt -noout -subject -serial
openssl ca -config openssl.cnf -revoke client.crt
openssl ca -config openssl.cnf -gencrl -out crl.pem

Yeni listeyi istemcilerin denetlediği her yerde yayımlayın, yoksa iptal hiçbir şeyi değiştirmeyen bir dosya notudur. Ağ geçidiniz istemci sertifikalarını bir iptal listesine bakmadan kabul ediyorsa, iptalin çalıştığını ima etmek yerine bunu açıkça söyleyin.

Yedekleri sırlar kadar ayrı tutun

Bir yeniden kurma arşivi ağ geçidi anahtarını ve CA materyalini meşru olarak içerir, çünkü bunlar olmadan bir geri yükleme hizmeti yeniden üretemez. Bir istemci kurulum paketi içermemelidir ve ikisi birlikte saklanmamalıdır. Her arşivi yapıldığı tarihe göre değil, kimin tutabileceğine göre etiketleyin. Yorgun bir yöneticinin sabahın ikisinde okuduğu şey o etikettir.

Bu ayrım her birini kimin alabileceğini de belirler. Ağ geçidini yönetmek, kullanıcı kimlikleri vermek ve yedekleri okumak üç farklı yetkidir ve birine ihtiyaç duyan kişi otomatik olarak diğerlerine ihtiyaç duymaz. Bu izinleri yazın, sonra depolamanızın gerçekte neye izin verdiğiyle karşılaştırın, çünkü dizin devralma politikasının amaçladığından sessizce daha fazlasını verir.