Ваш профіль VPN змяшчае прыватны ключ, а не толькі налады

Кожны, хто ўстаўляе профіль VPN у тэму форуму, зыходзіць з аднолькавага пераканання. Файл змяшчае толькі адрас сервера і некалькі параметраў, таму падзяліцца ім здаецца такім жа, як падзяліцца нумарам тэлефона. А потым нехта чытае яго і знаходзіць незашыфраваны прыватны ключ у чацвёртым радку.

Профіль — гэта не дакументацыя пра тунель. Гэта ідэнтычнасць тунеля, выпісаная цалкам.

Аб’екты ў файле не маюць аднаго ўзроўню сакрэтнасці

Публічны сертыфікат CA прызначаны для перадачы. Прыватны ключ кліента — не. Калі абодва апыняюцца ў адным файле, бясшкодны робіць усё прыкладанне падобным на бяспечнае. Гэта і ёсць пастка.

OpenVPN пагаршае гэта па сваёй канструкцыі. Ён дазваляе ўбудоўваць сертыфікаты, ключы і матэрыялы аўтэнтыфікацыі прама ў файл. Гэта зручна для разгортвання і катастрафічна для абмену. Файл, які пачынаецца з чытэльнага блока сертыфіката, працягваецца ў прыватную палову.

WireGuard кажа пра гэта прама. Раздзел інтэрфейсу змяшчае прыватны ключ, а кожны peer можа дадаткова мець загадзя агучаны ключ. Няма ніякай нявызначанасці, якія радкі маюць значэнне. Амаль кожны радок мае.

Здымак экрана — гэта ўцечка ў іншым фармаце

Кадаванне канфігурацыі як QR-кода не робіць яе папярэднім праглядам. Код змяшчае тыя ж байты, і любая камера тэлефона ў пакоі можа яго расшыфраваць. Тое ж тычыцца здымка экрана акна канфігурацыі кліента, дзе ключ чытэльны ў куце.

Файлы аўтэнтыфікацыі і спасылкі на шляхі да ключоў належаць да таго ж аўдыту. Профіль, які паказвае на знешні файл, не аўтаматычна больш бяспечны, бо шлях можа весці туды, куды можа дабрацца чытач. Токен у файле аўтэнтыфікацыі такі ж прыдатны, як пароль, і рэдка выглядае як ён.

Дасылайце тэкст памылкі, а не ключ

Для дыягностыкі патрэбны тэкст памылкі, версія кліента і назвы параметраў, якія спрабавалі. Ключ не патрэбны. Напішыце пытанне з гэтымі трыма рэчамі і заменіце кожны сакрэт і кожны непатрэбны сеткавы ідэнтыфікатар, перш чым файл пакіне вашу машыну.

Раздзел кіраўніцтва OpenVPN пра ўбудаваныя файлы — гэта карысная карта, дзе знаходзяцца гэтыя аб’екты. Ён таксама нагадвае, колькі іх можа змясціць адзін профіль.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Затым прачытайце канчатковае прыкладанне, а не спадзявайцеся на памяць пра праўку. Ключы хаваюцца ў наступных блоках, у нерэдагаваным каментары і ў радку, які вы лічылі структурным.

Пасля ўздзеяння ротацыя — адзіны рамонт

Выдаленне допісу нічога не адклікае. Той, хто атрымаў файл, усё яшчэ мае працоўныя ўліковыя даныя, таму выдавец павінен адклікаць або замяніць іх праз уласны працэс сэрвісу. Выдаленне лакальнай копіі нічога не змяняе на далёкім баку.

Захоўвайце працоўныя профілі абароненым спосабам і выдаляйце састарэлыя імпартаваныя запісы наўмысна, а не пакідайце тры копіі ў папцы загрузак. Профіль, якім вы больш не карыстаецеся, застаецца ўліковымі данымі, пакуль яго не адклічуць.

Звычка, якую варта набыць, малая. Перш чым любы профіль пакіне машыну, спытайце, што яшчэ ў ім ёсць, акрамя адрасу, і адкажыце, прачытаўшы файл, а не ўспамінаючы яго.