Jou VPN-profiel hou ’n privaat sleutel in, nie net instellings nie

Almal wat ’n VPN-profiel in ’n forumdraad plak, begin met dieselfde oortuiging. Die lêer hou net ’n bedieneradres en ’n paar opsies, so om dit te deel voel soos om ’n telefoonnommer te deel. Dan lees iemand dit en vind ’n onversleutelde private sleutel op reël vier.

Die profiel is nie dokumentasie oor die tonnel nie. Dit is die tonnel se identiteit, uitgeskryf.

Die voorwerpe in die lêer het nie dieselfde geheimhoudingsvlak nie

’n Openbare CA-sertifikaat is bedoel om te reis. ’n Kliënt se private sleutel is nie. Wanneer albei in dieselfde lêer verskyn, laat die skadelose een die hele aanhegsel veilig lyk. Dít is die lokval.

OpenVPN maak dit erger uit ontwerp. Dit laat sertifikate, sleutels en verifikasiemateriaal inline inbed. Dit is gerieflik vir ontplooiing en rampspoedig vir deel. Die lêer wat met ’n leesbare sertifikaatblok begin, gaan voort in die private helfte.

WireGuard is reguit daaroor. Die koppelvlak-afdeling dra ’n private sleutel, en elke eweknie kan boonop ’n vooraf gedeelde sleutel dra. Daar is geen onduidelikheid oor watter reëls saak maak nie. Byna elke reël doen.

’n Skermkopie is dieselfde lek in ’n ander formaat

Om ’n konfigurasie as ’n QR-kode te enkodeer, klassifiseer dit nie as ’n voorskou nie. Die kode dra dieselfde grepe, en enige selfoonkamera in die vertrek kan dit dekodeer. Dieselfde geld vir ’n skermkopie van ’n kliënt se konfigurasievenster, waar die sleutel in die hoek leesbaar is.

Verifikasielêers en verwysde sleutelpaaie hoort by dieselfde oudit. ’n Profiel wat na ’n eksterne lêer wys, is nie outomaties veiliger nie, want die pad kan ergens uitkom waar ’n leser by kan kom. ’n Token in ’n verifikasielêer is net so bruikbaar soos ’n wagwoord, en dit lyk selde so.

Stuur die foutteks, nie die sleutel nie

Diagnose het die foutteks, die kliëntweergawe en die opsiename wat probeer is, nodig. Dit het nie die sleutel nodig nie. Skryf die vraag met daardie drie dinge, en vervang elke geheim en elke onnodige netwerkidentifiseerder voordat die lêer jou masjien verlaat.

Die handleidingafdeling oor inline-lêers van OpenVPN is ’n nuttige kaart van waar daardie voorwerpe sit. Dit is ook ’n herinnering aan hoeveel daarvan ’n enkele profiel kan hou.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Lees dan die finale aanhegsel eerder as om jou geheue van die wysiging te vertrou. Sleutels weg in later blokke, in ’n ongeredigeerde opmerking, en in ’n reël wat jy as struktureel beskou het.

Ná blootstelling is rotasie die enigste herstel

Om die plasing te verwyder, herroep niks nie. Wie die lêer ontvang het, het steeds ’n werkende geloofsbrief, en daarom moet die uitgewer dit deur die diens se eie proses herroep of vervang. Om ’n plaaslike kopie te verwyder, verander niks aan die verre kant nie.

Stoor werkende profiele deur ’n beskermde metode, en verwyder verouderde ingevoerde inskrywings doelbewus eerder as om drie kopieë in ’n aflaailêergids te laat. ’n Profiel wat jy nie meer gebruik nie, is steeds ’n geloofsbrief totdat dit herroep word.

Die gewoonte wat die moeite werd is om op te bou, is klein. Voordat enige profiel die masjien verlaat, vra wat anders daarin is buiten die adres, en antwoord deur die lêer te lees eerder as deur dit te onthou.