ملف تعريف VPN الخاص بك يحمل مفتاحًا خاصًا وليس إعدادات فحسب

كل من يلصق ملف تعريف VPN في خيط منتدى ينطلق من الاعتقاد نفسه. الملف لا يحمل سوى عنوان خادم وبضعة خيارات، لذا يبدو مشاركته كأنك تشارك رقم هاتف. ثم يقرأه أحدهم فيجد مفتاحًا خاصًا غير مشفّر في السطر الرابع.

ملف التعريف ليس توثيقًا عن النفق. بل هو هوية النفق مكتوبة بالكامل.

الأشياء الموجودة في الملف لا تتساوى في مستوى السرية

شهادة CA العامة مخصصة للتنقل. أما المفتاح الخاص للعميل فليس كذلك. عندما يظهر الاثنان في الملف نفسه، يجعل الشيء غير الضار المرفق كله يبدو آمنًا. وهذا هو الفخ.

OpenVPN يزيد الأمر سوءًا بحكم تصميمه. فهو يسمح بتضمين الشهادات والمفاتيح ومواد المصادقة داخل الملف نفسه. ذلك مريح للنشر وكارثي للمشاركة. الملف الذي يبدأ بكتلة شهادة مقروءة يمتد إلى الشطر الخاص.

أما WireGuard فأكثر صراحة. يحمل قسم الواجهة مفتاحًا خاصًا، وقد يحمل كل قرين مفتاحًا مشتركًا مسبقًا فوق ذلك. لا لبس في أي الأسطر مهمة. كل سطر تقريبًا مهم.

لقطة الشاشة هي التسريب نفسه بصيغة أخرى

تشفير الإعداد كرمز QR لا يجعله معاينة. يحمل الرمز البايتات نفسها، وأي كاميرا هاتف في الغرفة يمكنها فكّه. الأمر ذاته ينطبق على لقطة شاشة لنافذة إعداد العميل، حيث يكون المفتاح مقروءًا في الزاوية.

ملفات المصادقة ومسارات المفاتيح المشار إليها تدخل في التدقيق نفسه. ملف تعريف يشير إلى ملف خارجي ليس أكثر أمانًا تلقائيًا، لأن المسار قد يصل إلى مكان يستطيع القارئ الوصول إليه. والرمز الموجود في ملف مصادقة صالح للاستخدام ككلمة مرور، ونادرًا ما يبدو كذلك.

أرسل نص الخطأ لا المفتاح

يحتاج التشخيص إلى نص الخطأ وإصدار العميل وأسماء الخيارات التي جُرّبت. ولا يحتاج إلى المفتاح. اكتب السؤال بهذه الأشياء الثلاثة، واستبدل كل سر وكل معرّف شبكي غير ضروري قبل أن يغادر الملف جهازك.

إن قسم الدليل الخاص بالملفات المضمنة في OpenVPN خريطة مفيدة لمواضع تلك الأشياء. وهو أيضًا تذكير بكمّها الذي قد يحمله ملف تعريف واحد.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

ثم اقرأ المرفق النهائي بدلًا من الثقة بذاكرتك عن التعديل. تختبئ المفاتيح في كتل لاحقة، وفي تعليق لم يُحجب، وفي سطر قررت أنه بنيوي.

بعد الانكشاف، التدوير هو الإصلاح الوحيد

حذف المنشور لا يلغي أي شيء. من استلم الملف لا يزال يملك اعتمادًا صالحًا، ولهذا يجب على الجهة المُصدرة أن تلغيه أو تستبدله عبر إجراء الخدمة نفسها. إزالة نسخة محلية لا تغيّر شيئًا في الطرف البعيد.

خزّن ملفات التعريف العاملة بطريقة محمية، واحذف الإدخالات المستوردة القديمة عمدًا بدلًا من ترك ثلاث نسخ في مجلد التنزيلات. ملف تعريف لم تعد تستخدمه يظل اعتمادًا حتى يُلغى.

العادة التي تستحق البناء صغيرة. قبل أن يغادر أي ملف تعريف الجهاز، اسأل ماذا فيه غير العنوان، وأجب بقراءة الملف لا بتذكّره.