Stuur 'n VPN-bondel na die regte ontvanger, nie net 'n sleutel nie

'n Vennoot stuur 'n publieke sleutel en vra vir 'n geënkripteerde bondel. Die enkripsie sal werk, en dit kan 'n volkome beskermde geloofsbrief by iemand aflewer wat dit nie behoort te hê nie. Geheimhouding en die identiteit van die ontvanger is twee verskillende vrae wat deur verskillende meganismes beantwoord word. Beantwoord albei voordat die bondel jou masjien verlaat.

Twee verskillende vrae: geheimhouding en ontvanger

Enkripsie beantwoord wie die lêer kan lees, mits die sleutel aan die bedoelde persoon behoort. 'n Handtekening beantwoord wie dit vervaardig het, en sê niks oor vertroulikheid nie, want 'n ondertekende lêer kan steeds leesbaar wees. 'n Vingerafdruk identifiseer 'n sleutel, en net 'n onafhanklike kontrole verbind daardie vingerafdruk met 'n persoon of rol. Om enige een van hierdie as die ander te behandel, is die gewone fout in 'n oorhandiging wat versigtig lyk.

Die lêer het ook 'n lewensiklus: 'n skakel wat verval beperk latere herwinning, maar dit herroep nie 'n geloofsbrief wat reeds afgelaai is nie.

Verifieer die vingerafdruk buite die kanaal

Kry die verwagte vingerafdruk uit 'n kanaal wat nie van die boodskap afhang wat jou vra om te enkripteer nie. Vergelyk dit dan met wat die plaaslike sleutelring bevat.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Die vingerafdruklyne is die waarde om te vergelyk, en die tweede opdrag wys dieselfde identiteite met hul volle vingerafdrukke vir 'n tweede blik. Bevestig die volledige string deur 'n oproep, 'n ondertekende inventaris of 'n bestuurde inskrywingsrekord; 'n bekende vertoonnaam bewys niks. As die sleutel in dieselfde boodskap aangekom het wat die aflewering versoek het, is sy vingerafdruk nie onafhanklike bewyse nie. Voer die sleutel eers na daardie kontrole in, en enkripteer na die geverifieerde vingerafdruk eerder as na 'n naam.

Lewer net die materiaal wat die toestel nodig het

Maak 'n inventaris van die bondel voordat jy 'n vervoer kies. Openbare poort-instellings en 'n openbare vertrouensertifikaat is konfigurasie, 'n kliënt se private sleutel is 'n geheim, en 'n uitreiker se ondertekeningsleutel is heeltemal 'n ander bate. Waar die inskrywingsmodel dit toelaat, hou die private sleutel op die toestel en lewer net wat die inskrywing voltooi. 'n VPN-kliënt het nie die CA se ondertekeningsleutel nodig om 'n bediener te valideer nie, en een gedeelde lewende sleutel oor vennote heen maak individuele herroeping onmoontlik.

Onderteken die artefak ook wanneer die ontvanger vervanging moet kan opmerk, en hou die twee bewerkings apart in die instruksies. Hou 'n bondel met verskeie lêers in een argief sodat die ontvanger nie halfpad 'n konfigurasie kan installeer en dan rapporteer dat die poort die identiteit verwerp nie.

Sluit die lewensiklus ná aflewering

Teken die ontvanger, die toestel, die konfigurasieweergawe en die herroepingsroete op, maar nooit die private waarde self nie. Bevestig dat die bedoelde persoon kan inskryf en dat 'n ander identiteit geweier word. As die bondel in verkeerde hande beland, vervang of herroep die aanvaarde geheim deur sy uitreiker, want die verwydering van 'n aanhangsel maak niks ongeldig wat reeds afgelaai is nie. 'n Wagwoordbeskermde argief waarvan die wagwoord deur dieselfde gesprek reis, is ook nie 'n onafhanklike kontrole nie.

'n Oorhandiging is klaar wanneer die regte identiteit op die regte toestel aktief is, nie wanneer die geënkripteerde lêer suksesvol oplaai nie.