ESP32 dagi WireGuard kalitlari: har bir qurilmaga alohida yoki bitta ichiga joylanganmi?

Eskiz WireGuard maxfiy kalitini belgilar massiviga joylashtiradi va tunnel ishlaydi, shu sababli bu savol qayta-qayta chiqadi. Haqiqatda qabul qilishingiz kerak bo'lgan qaror «bu xavfsizmi» emas, balki «uch shartdan qaysi biri bu joylashtirishga tegishli». Ular: qurilmani jismonan kim ushlab tura oladi, sizning qismingizda flesh o'qish nima beradi va park bitta kalitni bo'lishadimi yoki har biri o'zinikini olib yuradimi. Bularga javob bering va dizayn o'zi keladi, chunki har bir shart oqib chiqqan kalitning narxini o'zgartiradi, uning oqib chiqishi mumkinligi faktini emas.

Kalit nimaga ruxsat beradi

WireGuard hamkorlarni ochiq kalit bilan autentifikatsiya qiladi. Server har bir hamkorning ochiq kalitini manzil va AllowedIPs ro'yxat bilan bog'laydi, shuning uchun mijozga o'sha manzildan trafik yuborishga imkon beradigan maxfiy kalitdir.

Xuddi shu yozuv qurilma qaysi manzillarga yetib borishini belgilaydi, shuning uchun oqib chiqqan kalit tunnel orqasidagi tarmoqni ham, tunnel manzilini ham ochib beradi.

Birinchi shart: qurilmani kim ushlab tura oladi

Agar birlik qulflangan javonda turib, jamoangizdan tashqari hech kim unga tegmasa, xavf asosan proshivka tarqatish masalasidir. Agar u mijozlarga yuborilsa, mashinada turib, kafolat bo'yicha qaytsa, jismoniy egalik hisob ma'lumoti bo'lib, binar faylning maxfiyligi ikkinchi darajali. Qurilmani qo'lida ushlab turgan kishi kalitni o'qishi shart emas, chunki ishlab turgan proshivka unga tunnelni ochadi. Shuning uchun server tomonidagi javob faqat himoyalangan tasvirni emas, bekor qilish va cheklangan umrni ham o'z ichiga olishi kerak.

Bu shartni qolgan ikkitasidan oldin hal qiling, chunki u ikkisiga ham byudjet belgilaydi.

Ikkinchi shart: flesh o'qish nima beradi

Flesh tasvirini o'qiy oladigan har kim literal sifatida saqlangan kalitni tiklaydi — nosozliklarni tuzatish ulanishi, yangilanish fayli, zaxira nusxa yoki qaytarilgan birlik orqali. Flesh shifrlash to'g'ridan-to'g'ri dump narxini oshiradi va ESP-IDF hujjatlari bu funksiya ma'lum qism va konfiguratsiya uchun nimani qamrab olishini tushuntiradi. U kalitni har bir hujum modelida chiqarib bo'lmaydigan qilib qo'ymaydi va qurilma qo'lda bo'lgan holatda hech narsa qilmaydi. Uni narxni o'zgartiruvchi bir qatlam deb biling, javob sifatida emas.

Dizayn ko'rigida biron xususiyatni da'vo qilishdan oldin aniq chipingiz va konfiguratsiyangiz uchun platforma hujjatlarini o'qing.

Uchinchi shart: butun parkda qayta foydalanish

Ishlab chiqarish seriyasi uchun bitta kalit har bir birlik bitta identifikatsiyani bo'lishishini bildiradi. Server ularni jurnallarda ajrata olmaydi, hammasini bekor qilmasdan bittasini bekor qila olmaydi, va klonni aslidan ajrata olmaydi. Har bir qurilmaga alohida kalitlar uchtasini ham hal qiladi, narxi — ro'yxatdan o'tkazish bosqichi va seriya raqamini ochiq kalitga bog'lash. Aynan o'sha bog'lash bekor qilishni butun parkni qayta flesh qilish o'rniga bir satrlik o'zgarishga aylantiradigan aktivdir.

Agar park dastgohdagi besh birlik bo'lsa, kalitni bo'lishish o'rinli ayirboshlash bo'lishi mumkin. Agar dalada besh yuz bo'lsa, bu umuman ayirboshlash emas.

Har bir qurilma kalitlarini amaliy qiladigan ro'yxatdan o'tkazish namunasi

Birinchi yuklashda qurilmaning o'zida kalit juftini yarating, maxfiy yarmini himoyalangan uchuvchan bo'lmagan xotirada saqlang va faqat ochiq kalitni manzil ajratadigan va hamkor yozuvini yozadigan ro'yxatdan o'tkazish xizmatiga yuboring. Ro'yxatdan o'tkazish javobini autentifikatsiya qiling, aks holda mahalliy tarmoqdagi tajovuzkor o'z kalitini sizning hisobingizga ro'yxatdan o'tkazishi mumkin. Tayyorlash paytida maxfiy kalitni hech qachon seriyali konsolga chop etmang. Qurilmaning seriya raqamini ochiq kalit yoniga yozib qo'ying, yo'qolgan birlik aynan bitta hamkor yozuviga mos kelishi uchun.

Bu kichik xizmat va siz audit qila oladigan park bilan faqat qayta flesh qila oladigan park o'rtasidagi farq shu.

Vaqt, oxirgi nuqtalar va qaror

Misol tunnelni boshlashdan oldin vaqtni sinxronlaydi va bu TLS dan tashqarida ham muhim: WireGuard qo'l berishlari qayta yuborishdan himoya uchun vaqt tamg'asini olib yuradi, shuning uchun noto'g'ri soat bilan yuklangan qurilmaning qo'l berishlari rad etilishi mumkin. Oxirgi nuqta xost nomi bo'lib, bu DNS ni ishonch yo'liga qo'yadi, garchi serverning ochiq kaliti hamkorni hali ham autentifikatsiya qilsa. Noto'g'ri manzil urinishlarni behuda sarflaydi va qurilma qachon onlayn ekanini ochib beradi. Kalit haqida bahslashishdan oldin ikkalasini ham hal qiling.

So'ngra qaror qiling: umumiy kalit faqat egalik nazoratda va park kichik bo'lganda, har bir qurilmaga kalitlar esa shu ikkisidan biri endi to'g'ri bo'lmay qolgan paytdan boshlab.