VPN paketini yalnız açar deyil, düzgün alıcıya göndərin

Tərəfdaş açıq açar göndərir və şifrələnmiş paket istəyir. Şifrələmə işləyəcək və ola bilsin ki, tam qorunan etimad məlumatını onu almamalı olan birinə çatdırsın. Məxfilik və alıcının kimliyi müxtəlif mexanizmlərlə cavablandırılan iki fərqli sualdır. Paket maşınınızdan çıxmazdan əvvəl hər ikisinə cavab verin.

İki fərqli sual: məxfilik və alıcı

Şifrələmə, açarın nəzərdə tutulan şəxsə aid olduğunu fərz edərək, faylı kimin oxuya biləcəyini cavablandırır. İmza onu kimin yaratdığını cavablandırır və məxfilik haqqında heç nə demir, çünki imzalanmış fayl yenə də oxunaqlı ola bilər. Barmaq izi açarı müəyyən edir və yalnız müstəqil yoxlama həmin barmaq izini şəxsə və ya rola bağlayır. Bunlardan hər hansı birini digəri kimi qəbul etmək, diqqətli görünən təhvil zamanı adi uğursuzluqdur.

Faylın həm də həyat dövrü var: müddəti bitən keçid sonrakı götürməni məhdudlaşdırır, lakin artıq endirilmiş etimad məlumatını ləğv etmir.

Barmaq izini kanaldan kənar yoxlayın

Gözlənilən barmaq izini sizdən şifrələmə istəyən mesajdan asılı olmayan kanaldan alın. Sonra onu yerli açar halqasının saxladığı ilə müqayisə edin.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Barmaq izi sətirləri müqayisə ediləcək dəyərdir və ikinci əmr eyni kimlikləri tam barmaq izləri ilə ikinci baxış üçün göstərir. Tam sətri zəng, imzalanmış inventar və ya idarə olunan qeydiyyat yazısı ilə təsdiqləyin; tanış görünən ad heç nə sübut etmir. Açar çatdırılmanı istəyən mesajın içində gəlibsə, onun barmaq izi müstəqil sübut deyil. Açarı yalnız bu yoxlamadan sonra idxal edin və ada deyil, yoxlanılmış barmaq izinə şifrələyin.

Yalnız cihazın ehtiyac duyduğu materialı çatdırın

Daşıyıcı seçməzdən əvvəl paketin inventarını çıxarın. Açıq şlüz parametrləri və açıq etibad sertifikatı konfiqurasiyadır, müştərinin şəxsi açarı sirrdir, buraxanın imzalama açarı isə tamamilə başqa bir aktivdir. Qeydiyyat modeli buna icazə verdikdə şəxsi açarı cihazda saxlayın və yalnız qeydiyyatı tamamlayanı çatdırın. VPN müştərisi serveri yoxlamaq üçün CA-nın imzalama açarına ehtiyac duymur, və tərəfdaşlar arasında bir ümumi canlı açar fərdi ləğvi qeyri-mümkün edir.

Alıcı dəyişdirməni aşkar etməlidirsə, artefaktı da imzalayın və iki əməliyyatı təlimatlarda ayrı saxlayın. Çoxfayllı paketi bir arxivdə saxlayın ki, alıcı konfiqurasiyanın yarısını quraşdırıb sonra şlüzün kimliyi rədd etdiyini bildirməsin.

Çatdırılmadan sonra həyat dövrünü bağlayın

Alıcını, cihazı, konfiqurasiya revisiyasını və ləğvetmə yolunu qeyd edin, amma heç vaxt şəxsi dəyərin özünü yazmayın. Nəzərdə tutulan şəxsin qeydiyyatdan keçə bildiyini və başqa kimliyin rədd edildiyini təsdiqləyin. Paket yanlış əllərə düşsə, qəbul edilmiş sirri buraxanı vasitəsilə dəyişdirin və ya ləğv edin, çünki bir əlavənin silinməsi artıq endirilmiş heç nəyi etibarsız etmir. Parolu eyni söhbətdən keçən parol qorumalı arxiv də müstəqil yoxlama deyil.

Təhvil düzgün kimliyin düzgün cihazda aktiv olması ilə bitir, şifrələnmiş faylın uğurla yüklənməsi ilə deyil.