Адпраўце VPN-збор правільнаму атрымальніку, а не проста ключ

Партнёр дасылае публічны ключ і просіць шыфраваны збор. Шыфраванне спрацуе, і яно можа перадаць бездакорна абароненыя дадзеныя доступу таму, хто не павінен іх мець. Сакрэтнасць і асоба атрымальніка — два розныя пытанні, на якія адказваюць розныя механізмы. Адкажыце на абодва, перш чым збор пакіне вашу машыну.

Два розныя пытанні: сакрэтнасць і атрымальнік

Шыфраванне адказвае, хто можа прачытаць файл, мяркуючы, што ключ належыць патрэбнай асобе. Подпіс адказвае, хто яго стварыў, і нічога не кажа пра канфідэнцыйнасць, бо падпісаны файл можа заставацца чытэльным. Адбітак ідэнтыфікуе ключ, і толькі незалежная праверка звязвае гэты адбітак з асобай ці роляй. Прымаць адно з гэтага за другое — звычайная памылка ў перадачы, якая выглядае асцярожнай.

Файл таксама мае жыццёвы цыкл: спасылка, якая сканчаецца, абмяжоўвае пазнейшае атрыманне, але яна не адклікае дадзеныя доступу, якія ўжо спампаваныя.

Праверце адбітак па-за каналам

Атрымайце чаканы адбітак з канала, які не залежыць ад паведамлення, што просіць вас шыфраваць. Затым параўнайце яго з тым, што захоўвае лакальнае колца ключоў.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Радкі адбітка — гэта значэнне для параўнання, а другая каманда паказвае тыя ж асобы з поўнымі адбіткамі для другога погляду. Пацвердзіце поўны радок праз званок, падпісаны інвентар або кіраваны запіс рэгістрацыі; знаёмае імя не даказвае нічога. Калі ключ прыйшоў у тым жа паведамленні, што запытвала перадачу, яго адбітак не з’яўляецца незалежным доказам. Імпартуйце ключ толькі пасля гэтай праверкі і шыфруйце на правераны адбітак, а не на імя.

Перадайце толькі матэрыял, патрэбны прыладзе

Перад выбарам транспарту складзіце інвентар збору. Публічныя налады шлюза і публічны сертыфікат даверу — гэта канфігурацыя, прыватны ключ кліента — сакрэт, а ключ подпісу ўладальніка — зусім іншы актыў. Дзе мадэль рэгістрацыі дазваляе, трымайце прыватны ключ на прыладзе і перадавайце толькі тое, што завяршае рэгістрацыю. VPN-кліенту не патрэбны ключ подпісу CA, каб праверыць сервер, і адзін агульны жывы ключ сярод партнёраў робіць індывідуальнае адкліканне немагчымым.

Падпішыце артэфакт таксама, калі атрымальнік павінен заўважаць падмену, і трымайце дзве аперацыі асобна ў інструкцыях. Трымайце шматфайлавы збор у адным архіве, каб атрымальнік не мог усталяваць палову канфігурацыі і потым паведаміць, што шлюз адхіляе асобу.

Закрыйце жыццёвы цыкл пасля перадачы

Запішыце атрымальніка, прыладу, рэвізію канфігурацыі і шлях адклікання, але ніколі сам прыватны сакрэт. Пацвердзіце, што патрэбная асоба можа зарэгістравацца, а іншая асоба адхіляецца. Калі збор трапіў у няправільныя рукі, заменіце або адклічце прыняты сакрэт праз яго ўладальніка, бо выдаленне ўкладання не анулюе нічога, што ўжо спампавана. Архіў, абаронены паролем, які перадаецца ў той жа размове, таксама не з’яўляецца незалежнай праверкай.

Перадача скончана, калі правільная асоба актыўная на правільнай прыладзе, а не калі шыфраваны файл паспяхова загружаецца.