VPN açıq açarını paylaşmaq olar? Bu üç şeyi yoxlayın

VPN açıq açarınızı həmkar cihaza, provayderə və ya foruma verə bilərsiniz və tunel yenə işləyir. Gizli açarı isə, hətta dəstək heyətinə belə, o açarın sübut etdiyi kimliyi təhvil vermədən ötürə bilməzsiniz. Qərar nadir hallarda bu qədər təmiz qalır, çünki insanlar cütün hansı yarısına baxdıqlarını qarışdırır və bəzi quraşdırmalar açıq dəyəri ad kimi qəbul edir. Üç yoxlama bunu həll edir: hansı yarı sizdədir, quraşdırma ona nəyi bağlayır və dəyişdirmə nə qədər başa gəlir.

Birinci yoxlama: cütün hansı yarısı buferinizdədir

Asimmetrik açarlar cüt-cüt olur, və törəmə istiqaməti bütün məsələnin məğzidir. WireGuard-da gizli açar 32 təsadüfi baytdır və açıq açar ondan hesablanır; tərs istiqamətdə getmək mümkün deyil. wg genkey gizli dəyəri yazır, wg pubkey isə açıq dəyəri törədir və həmkar cihaza göndərilən mesajda yalnız ikincisi yer alır.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Sertifikat dünyası eyni bölgünü daha çox hərəkət edən hissə ilə istifadə edir. Server sertifikatı açıq açarı və adları daşıyır və CA-nın heç vaxt tərk etmədiyi gizli açarı ilə imzalanır. Həmin serveri yoxlayan müştəriyə açıq olan CA sertifikatı lazımdır və CA-nın gizli imzalama açarına heç ehtiyacı yoxdur.

Hansı dəyəri tutduğunuzdan əmin deyilsinizsə, fayl adına deyil, işarəyə baxın. -----BEGIN PRIVATE KEY----- ilə başlayan PEM bloku və ya daha köhnə BEGIN RSA PRIVATE KEY forması gizli yarısıdır. Bu işarə olmadan yapışdıra bildiyiniz dəyər paylaşmaq üçün namizəddir, növbəti iki yoxlama şərtilə.

İkinci yoxlama: quraşdırma həmin açıq dəyərə nəyi bağlayır

Kriptoqrafik təhlükəsizlik və anonimlik fərqli xassələrdir. WireGuard həmkar açarı quraşdırma daxilində sabit identifikatordur: server konfiqurasiyası onu sadalayır, əl sıxma onu adlandırır və jurnalları oxuyan administrator həmin həmkar hər qoşulanda eyni sətri görür. Açarı qurulumunuzla bağlı bir sualın yanında yerləşdirin və o sətri paylaşımındakı hər şeylə əlaqələndirmiş olursunuz.

Sertifikatlar dizaynına görə kimliyi sızdırır. Subject və subject alternative name sahələri oxunaqlıdır və ictimai olaraq etibarlı TLS sertifikatları üçün sertifikatın özü axtarıla bilən Certificate Transparency jurnallarında dərc olunur. Bunların heç biri gizli açarı açıqlamır, hamısı isə bir əlaqəni açıqlayır.

Quraşdırmalar burada fərqlənir və cavabı da bu həll edir. Laboratoriya serverindəki birdəfəlik sınaq həmkarı, baytlar eyni görünsə də, şirkətin saytlararası son nöqtəsini identifikasiya edən açardan fərqli obyektdir.

Üçüncü yoxlama: nəyi ləğv edə bilirsiniz və nə qədər tez

Üçüncü yoxlama iki yarını tamamilə ayırır. Dərc edilmiş açıq açar sizin cədvəlinizə uyğun dəyişdirilə bilər. Dərc edilmiş gizli açar geri çağırıla bilməz: surətinizi silmək artıq götürülmüş surətlərə toxunmur və ona güvənən hər həmkar indi kənar şəxsin əlində olan bir şeyə güvənir.

Ləğvetmə konfiqurasiya əməliyyatıdır, kriptoqrafik deyil. WireGuard ləğv siyahısı təqdim etmir, ona görə həmkarı silirsiniz:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN sertifikatlara əsaslanan quraşdırmalarda sertifikat ləğv edilir və serverin həqiqətən crl-verify vasitəsilə yoxladığı CRL dərc olunur. Bu direktiv olmadan ləğv siyahısı sadəcə bəzəkdir. Hər halda ardıcıllıq eynidir: əvəzedicini verin, dəstəklənən kanaldan paylayın, sonra köhnə kimliyi təqaüdə çıxarın.

Üç yoxlamanı birləşdirməkdən doğan səhvlər

Əsl sızmaların çoxu insanın gizli açarı dərc etmək qərarı deyil. Bunlar foruma yapışdırılmış bütöv profildir: WireGuard .conf faylı, tərkibində PrivateKey sətri, yaxud daxili açar bloku olan .ovpn paketi və ya müştəri pəncərəsindən açar sahəsini də əhatə edən ekran görüntüsü. Açıq dəyər yəqin ki, qaydasında idi; o, qaydasında olmayan hissə ilə birlikdə getdi.

Dəstək iş axınları ikinci mənbədir. Heç bir qanuni yoxlama addımı gizli açarınıza ehtiyac duymur, çünki qarşı tərəf lazım olanı açıq yarıdan törədir. Forma və ya şəxs gizli dəyəri istədikdə düzgün cavab açıq dəyər və onu istehsal edən yerli əmrdir.

Jurnallar və ekran görüntüləri də eyni kateqoriyaya aiddir. Diaqnostik çıxış açar materialını, sessiya identifikatorlarını və daxili ünvanları daşıya bilər və bir suala cavab almaq üçün hamısını paylaşmaq kiçik rahatlığı daha böyük məruz qalma ilə dəyişir.

Gizli dəyər sızdıqdan sonra kimliyi təqaüdə çıxarın

Gizli dəyər həqiqətən yayıldısa, o kimliyi təqaüdə çıxmış sayın. Yeni cüt yaradın, açıq yarısını həmkar cihazların gözlədiyi yerə quraşdırın, köhnə həmkarı silin və ya köhnə sertifikatı ləğv edin və onu dərc etdiyiniz yerləri yoxlayın. Nəzarət etmədiyiniz surətləri silə bilməzsiniz, ona görə silmə gələcəyə aiddir, keçmişə yox.

Sonra paylanmanı yazın: hansı açar hansı cihaza aiddir, kim surət saxlayır, əvəzedici necə çatdırılır və təqaüdə çıxmış həmkarı kim silir. İnsanların unutduğu hissələr bunlardır və sızmanın nə qədər faydalı qalacağını da onlar həll edir.