Ìwé-ẹ̀rí kan fún ẹ̀rọ kọ̀ọ̀kan kò mú kọ́kọ́rọ́ dí mọ́ ẹ̀rọ
Ìwé-ẹ̀rí fún ẹ̀rọ kọ̀ọ̀kan jẹ́ yíyàn olùṣàkóso, kì í ṣe ìdì mọ́ ẹ̀rọ. Ohun tí ó pinnu ìdì ni ibi tí kọ́kọ́rọ́ àdáni wà, láti fáìlì tí a lè dà kọ́ sí TPM.
O gbé ìwé-ẹ̀rí ọ̀tọ̀ọ̀tọ̀ jáde fún kọ̀ọ̀kan kọ̀m̀pútà, nítorí náà o rò pé VPN lè yà wọ́n sọ́tọ̀. Kò lè. Ìwé-ẹ̀rí alábàárá ẹ̀rí pé ẹni tí ó so pọ̀ ni ó ní kọ́kọ́rọ́ àdáni tí ó bá a mu, àti pé pọ́rófáìlì tí a dà kọ́ ni ó ní í pẹ̀lú.
Ìwé-ẹ̀rí fún ẹ̀rọ kọ̀ọ̀kan ṣì jẹ́ èrò tí ó dára. Ó kàn ṣe iṣẹ́ mìíràn ju ohun tí ọ̀pọ̀ ènìyàn retí lọ.
Kí ni ìwé-ẹ̀rí alábàárá ẹ̀rí ń fi hàn ní tòótọ́
Nígbà ìfọwọ́sowọ́pọ̀ ìbẹ̀rẹ̀, alábàárá ẹ̀rí fi kọ́kọ́rọ́ àdáni tí ó bá ìwé-ẹ̀rí rẹ̀ mu wọ̀wé, olùpèsè sì ń ṣàyẹ̀wò ìwọ̀wé yẹn lórí CA tí ó gbẹ́kẹ̀lé. Kò sí ohun kan nínú ìpààrọ̀ yẹn tí ó ṣàpèjúwe ẹ̀rọ náà. Ẹ̀rọ èyíkéyìí tí ó ní ìwé-ẹ̀rí àti kọ́kọ́rọ́ méjèèjì ń ṣe ìwọ̀wé kan náà, nítorí náà pọ́rófáìlì tí a dà kọ́ sí kọ̀m̀pútà kejì yóò dà bí ẹni àkọ́kọ́ gan-an. Ìwé-ẹ̀rí ń dárúkọ ìdánimọ̀; kò dárúkọ ohun èlò.
Ìyàtọ̀ fún ẹ̀rọ kọ̀ọ̀kan ṣì ní ìtumọ̀, nítorí ó mú ìfagilé di pípé. Àbùdá ìṣàkóso ni, kì í ṣe tìlèkùn ìmọ̀-ẹ̀rọ.
Ìpele mẹ́ta ti ìtọ́jú kọ́kọ́rọ́
Ìpele àkọ́kọ́ ni fáìlì kọ́kọ́rọ́ lórí díísìkì. Ó lè gbé kiri nípasẹ̀ àpẹẹrẹ rẹ̀, àti pé ibẹ̀ ni ọ̀pọ̀ pọ́rófáìlì OpenVPN wà.
Ìpele kejì ni kọ́kọ́rọ́ tí ẹ̀rọ ìṣiṣẹ́ ń sàmì sí pé a kò lè gbé jáde. Windows lè ṣẹ̀dá kọ́kọ́rọ́ ẹ̀rọ nínú ilé ìpamọ́ ìwé-ẹ̀rí rẹ̀ kí ó sì kọ̀ ìgbéjáde lasan, èyí tí ó dá ìdàkọ́ àìròtẹ́lẹ̀ dúró. A kò fi ohun èlò ṣe àtìlẹ́yìn rẹ̀, àti pé pẹ̀lú àǹfààní tó pọ̀ sí ẹ̀rọ náà irú kọ́kọ́rọ́ bẹ́ẹ̀ lè padà wá, nítorí náà ó ń pọ̀ sí ìsapá dípò kíkọ́ ògiri.
Ìpele kẹta ni kọ́kọ́rọ́ tí a ṣẹ̀dá nínú ohun èlò ààbò: TPM, káàdì olóye, SIM tàbí tọ́kẹ̀nì PIV. Àwọn mọ́dúùlì wọnnì kò ní ẹ̀rọ ìtànká láti gbé kọ́kọ́rọ́ tí wọ́n ṣẹ̀dá jáde, ìwọ̀wé sì ń ṣẹlẹ̀ nínú mọ́dúùlì náà. Kọ́kọ́rọ́ kò ní di fáìlì tí ẹnikẹ́ni lè dà kọ́.
| Where the key lives | Copyable | What it buys you |
|---|---|---|
| Key file inside the profile | Trivially | Revocation granularity, nothing more |
| OS non-exportable key store | Hard, not impossible | Stops casual profile sharing |
| TPM or PIV token | No | Binding the server can rely on |
Tábìlì yẹn ni gbogbo àríyànjiyàn nínú ìlà mẹ́ta.
Ohun tí easy-rsa lè ṣe àti ohun tí kò lè ṣe
Ìgbéjáde ìwé-ẹ̀rí fún ẹ̀rọ kọ̀ọ̀kan rọrùn. Ṣẹ̀dá orúkọ gbogbogbò ọ̀tọ̀ọ̀tọ̀ fún ẹ̀rọ kọ̀ọ̀kan lórí CA kan náà, fún àpẹẹrẹ ./easyrsa build-client-full laptop-a nopass, kí o sì tún un ṣe fún ẹ̀rọ kọ̀ọ̀kan. Kọ sílẹ̀ orúkọ gbogbogbò wo ni ó jẹ́ ti ẹni wo àti ẹ̀rọ wo.
Ìfagilé náà tún ṣe tààrà: ./easyrsa revoke laptop-a, tún CRL ṣẹ̀dá pẹ̀lú ./easyrsa gen-crl, kí o sì rí i dájú pé olùpèsè ń kà á ní tòótọ́ nípasẹ̀ crl-verify.
Ohun tí CA kò lè ṣe ni ṣàyẹ̀wò ibi tí kọ́kọ́rọ́ àdáni wà lẹ́yìn náà. Bí o bá ṣẹ̀dá kọ́kọ́rọ́ lórí ẹ̀rọ CA kí o sì dà á kọ́ sórí ẹ̀rọ náà, o ti ṣẹ̀dá ẹ̀dà kejì ní àkókò ìgbéjáde. Kọ́kọ́rọ́ tí a kò lè gbé jáde gbọdọ̀ ní a ṣẹ̀dá rẹ̀ lórí ẹ̀rọ náà, tàbí kí a kó o sínú ohun èlò tí kò ní jọ̀wọ́ rẹ̀.
Àwọn ìṣàkóso tí ó dúró gbọn-in lẹ́yìn pọ́rófáìlì tí a dà kọ́
Rò pé a lè dà pọ́rófáìlì kọ́, kí o sì ṣe àpẹẹrẹ nípa rẹ̀. So àkọsílẹ̀ mọ́ kókò kejì kí ìwé-ẹ̀rí nìkan má baà tó. Fún ẹ̀rọ kọ̀ọ̀kan ní ìlànà tirẹ̀ kí ìpínpín ìdánimọ̀ kan lè wà ní ààlà. Kí o sì máa ṣọ́ orúkọ gbogbogbò kan náà tí ń so mọ́ àdírẹ́sì méjì lẹ́ẹ̀kan náà, èyí ni bí pọ́rófáìlì tí a pín ṣe ń hàn nínú àkọsílẹ̀ ìsopọ̀.
Ìfagilé kíákíá tí a kọ sílẹ̀ ni ìṣàkóso tí ó ṣì ń ṣiṣẹ́ lẹ́yìn tí ìdàkọ́ ti ṣẹlẹ̀. Gbogbo ohun mìíràn ni ìdènà.
Ìsọtẹ́lẹ̀ tí olùpèsè lè gbẹ́kẹ̀lé ní tòótọ́
Ìyàtọ̀ wá láti ọ̀dọ̀ CA. Ìdì mọ́ ẹ̀rọ wá láti inú ìtọ́jú kọ́kọ́rọ́. Ohun èlò tí kò lè gbé kọ́kọ́rọ́ rẹ̀ jáde nìkan ni ó yí ìwé-ẹ̀rí kan fún ẹ̀rọ kọ̀ọ̀kan padà sí ìsọtẹ́lẹ̀ tí olùpèsè ń fi agbára mú, dípò ìlànà tí gbogbo ènìyàn gbà láti tẹ̀lé.