Schlüssel erneuern und zurücksetzen

Jedes Gerät hat eigene Schlüssel, und das Netz teilt ein Geheimnis. Du kannst sie ersetzen, ein Gerät herausnehmen und neu anfangen lassen, und ein verlorenes Gerät abschneiden.

Worum es geht

Jedes Gerät hat eigene Schlüssel. Seine WireGuard- und Sealing-Schlüssel schützen seine Tunnel und die Nachrichten, die an es versiegelt werden. Sein Identitätsschlüssel nennt es im Mitgliederlog, der signierten Liste aller Änderungen, die jedes Gerät prüft (So funktioniert juist).

Das Netz hat außerdem ein Gruppengeheimnis, das alle Mitglieder teilen und mit dem sie einander finden. Admin-Schlüssel sind wieder etwas anderes: Sie gehören Personen und bestätigen Änderungen (Mehrere Admins).

Schlüssel zu ersetzen heißt, sie zu erneuern. Ein neuer Schlüssel ist eine Änderung am Log, also bestätigen ihn die Admins wie jede andere Änderung.

Schlüssel erneuern

Um … zu ersetzen	führe aus	Hinweis
die WireGuard- und Sealing-Schlüssel dieses Geräts	`juist rotate`	Name und Adressen bleiben
den Identitätsschlüssel dieses Geräts	`juist rotate identity`	seine IPv6-Adresse ändert sich
das Gruppengeheimnis des Netzes	`juist rotate group-secret`	nach einem Leck

Nimm juist rotate, wenn du auf einem Gerät, dem du noch traust, neue Schlüssel willst. Liegt ein Admin-Schlüssel des Netzes auf dem Gerät und braucht das Quorum eine Stimme, gilt es sofort:

laptop

$ juist rotate
new keys cfe695661243
new keys live
rotated this device's keys

Braucht die Änderung einen anderen Admin, wartet sie auf ihn, und die neuen Schlüssel bleiben vorgemerkt, bis das Log sie nennt. juist rotate abandon verwirft eine Erneuerung, die noch auf Bestätigung wartet.

Ein Gerät neu anfangen lassen

juist reset lässt ein Gerät das Netz verlassen, wie nach einer frischen Installation. Es vergisst das Netz und die Schlüssel, das Log, die Peers und den Operator dieses Geräts dafür. Admin-Schlüssel bleiben. Hier war phone schon aus dem Netz entfernt:

phone

$ juist reset
forget "home" and reset this device, with new keys? [y/N] y
reset; new keys, no network

Liegen Admin-Schlüssel in deinem Keystore, kommt die Zeile admin keys kept in ~/.config/juist/admins dazu, mit dem vollen Pfad.

Ein Gerät, das das Netz noch führt, braucht --force. Entferne es vorher, wo es geht, vom Gerät eines Admins aus, damit auch die anderen ihm nicht mehr trauen.

Auf einem Gerät in mehreren Netzen wird nur das genannte Netz vergessen, mit seiner eigenen juistd, außer es ist die erste: juist reset work --force. Die anderen Netze behalten ihre Schlüssel.

Wenn ein Gerät verloren ist

1auf dem Gerät eines Admins

Das verlorene Gerät entfernen:

juist remove phone

Das erneuert auch das Gruppengeheimnis. Jedes Gerät baut den Tunnel zu phone ab, sobald es von der Entfernung erfährt. Ein Gerät, das vom Rest abgeschnitten ist, tut es spätestens, wenn seine Frische abläuft, nach 48 Stunden ohne Voucher.

2auf dem Gerät eines Admins

Lag auf dem verlorenen Gerät ein Admin-Schlüssel, nimm auch diesem Schlüssel die Stimme. Die Spalte ON von juist admins zeigt, welcher Schlüssel dort lag:

juist admins remove nid:…

Das wird abgelehnt, wenn die übrigen Schlüssel das Quorum nicht erreichen.

Ein Ersatzgerät tritt mit einer neuen Einladung bei, wie jedes neue Gerät (Einladungen). Findest du das alte Gerät wieder, sagt sein juist status removed. Lass es mit einer neuen Einladung wieder beitreten, oder führe dort juist reset aus.

Gut zu wissen

Erneuern, Zurücksetzen und Entfernen sind für root und den Operator des Geräts. Bestätigen braucht einen Admin-Schlüssel.
juist reset warnt, wenn dieses Gerät das einzige im Netz ist: Das Netz endet mit ihm.
juist log zeigt jede Erneuerung und wer sie bestätigt hat.

Gefahr

Der Verlust eines Quorums an Admin-Schlüsseln ist endgültig. Bleiben weniger Admin-Schlüssel, als eine Änderung braucht, lässt sich keine Änderung mehr signieren: Kein Gerät kann mehr hinzukommen oder entfernt werden. juist create schreibt Break-Glass-Geheimnisse, etwa nach ~/.config/juist/break-glass-home.secrets, für eine Wiederherstellung, die geplant, aber noch nicht gebaut ist. Bewahre sie trotzdem offline auf. Was heute hilft: mehr Admins, als das Quorum braucht, jeder mit eigenen Geräten, und bei juist admins require ein Schlüssel mehr, als verlangt wird.

Warum juist das in Kauf nimmt, steht bei den Abwägungen.

Wenn etwas nicht klappt

Du siehst	Was zu tun ist
`juist: still a member of "home"`	erst `juist remove phone` auf dem Gerät eines Admins, oder `--force` anhängen
`juist status`: `removed`	dieses Gerät ist nicht mehr im Netz: mit einer neuen Einladung wieder beitreten, oder `juist reset`
`hint: the new keys stay staged until the log names them or: juist rotate abandon`	auf die Bestätigung warten, oder die Erneuerung mit `juist rotate abandon` verwerfen
`juist: no admin key of this network in …`	dort ausführen, wo der Schlüssel eines Admins liegt