Регистрация Войти
Рейтинг:1
avatar Server

Как решить проблему курицы или яйца с клиентскими сертификатами TLS на физическом хосте?

флаг pe
Arseni Mourzenko

Я не понимаю, как решить проблему с курицей или яйцом при автоматизации установки серверов.

У меня есть ряд серверов, которые можно восстановить через PXE. Когда машина перестраивается, она загружает все необходимые настройки, включая свой частный сертификат, который она будет использовать для аутентификации при дальнейшем использовании различных служб, с сервера Apache. Этот сервер Apache идентифицирует клиентов по их IP-адресам, чтобы либо предоставить им конфигурацию или сертификат, предназначенный для данного сервера, либо отказаться от их обслуживания.

Однако IP-адрес клиента может быть подделан. То же самое для MAC-адреса, если в какой-то момент я добавлю и такую ​​проверку.

Поэтому, чтобы безопасно получить свою конфигурацию и свой частный сертификат, машина, которая загружается через PXE, уже должна иметь сертификат, который она могла бы использовать при общении с сервером Apache. Это, однако, не представляется возможным, так как машина, которая загружается с PXE, либо новая, либо все равно отформатирует свой диск во время установки.

Я что-то пропустил? Как я могу идентифицировать свежую новую машину без риска спуфинга?

Должен ли я использовать всегда подключенный USB-ключ, содержащий закрытый ключ? Или есть другие варианты?

115
0 + 0
флаг in
NiKiZe
Частные части сертификата никогда не должны передаваться по сети. TPM можно использовать для надежного воссоздания закрытого ключа, который затем генерирует открытый ключ, который затем можно использовать для создания сертификата.
0
Ответить
флаг pe
Arseni Mourzenko
@NiKiZe: я не знаю, как это работает. Представьте, что у меня свежая машина, без установленной операционной системы. Как поместить сертификат в TPM в первую очередь? Что вы подразумеваете под тем, что TPM может воссоздать закрытый ключ? Откуда он знает что-нибудь о CA?
0
Ответить
флаг in
NiKiZe
Во-первых, вы не вкладываете в него много, вы активируете его, и он дает вам случайную постоянную каплю - если ничего не меняется в процессе загрузки, если это происходит, то меняется и ключ.
0
Ответить
Рейтинг:2
avatar Server
флаг cn
natxo asenjo

Мы используем бригадира плагин загрузочного диска для этой цели. Я не утверждаю, что это правильный или уникальный способ, это то, чем мы успешно пользуемся.

Каждый раз, когда хост необходимо (повторно) предоставить, генерируется токен с коротким сроком службы, который сохраняется в базе данных, связанной с хостом. Этот токен входит в iso-файл с двоичным файлом ipxe и сценарием, который загружает файл kicstart с хоста подготовки только в том случае, если он предлагает правильный токен в качестве идентификатора. После инициализации хоста токен удаляется. По прошествии определенного (настраиваемого, из моей головы по умолчанию 60 минут) токен становится недействительным.

Это работает как с биосом, так и с прошивкой uefi, и не требует pxe, только http (s), поэтому вы действительно можете иметь интернет-развертывание с небольшими модификациями (удобно для развертывания оборудования в удаленных местах).

0 + 0
флаг pe
Arseni Mourzenko
Если хакер получит токен *непосредственно* перед тем, как это сделает сервер, который инициализируется, то хакер получит доступ к ресурсам, но пока он это сделает, инициализация завершится ошибкой, и системные администраторы будут предупреждены о чем-то неприятное может происходить. Имеет смысл, правда.
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.