Каб адладжваць VPN, прыватны ключ не патрэбны

Запыт гучыць слушна: дашліце канфігурацыю, каб падтрымка ўбачыла, што не так. Менавіта так прыватныя ключы і трапляюць у сістэмы заявак і журналы чатаў. Канфігурацыя — гэта асоба, а не дыягностыка, і чалавек, які адладжвае ваш тунель, амаль ніколі не патрабуе тую палову, што даказвае, хто вы. Вывад стану адказвае на тыя ж пытанні без гэтай рызыкі.

Міф у тым, што канфігурацыя — адзіны поўны від. Гэта найменш бяспечны поўны від.

Міф: падтрымцы патрэбная канфігурацыя

Падтрымцы патрэбны тэкст памылкі, версіі кліента і сервера, канцавы пункт, стан рукапоціску і парадак падзей. Усё гэта — стан. Канфігурацыя дадае ключы, а ключы — гэта тое, што дазваляе камусьці іншаму быць вамі. Перадаць канфігурацыю, каб выправіць праблему маршрутызацыі, — гэта як адправіць па пошце свой пашпарт, каб патлумачыць затрымку рэйса. Запыт звычайна паходзіь ад кагосьці, хто ніколі не бачыў вашу сетку, і просіць тое, што прасцей за ўсё прымацаваць.

Дашліце найменшы вывад, які адказвае на пытанне, а не найбольшы, які знойдзеце.

Што насамрэч паказвае стан

wg show у WireGuard друкуе інтэрфейсы, піраў, дазволеныя IP, канцавыя пункты, апошні рукапоціск і лічыльнікі перадачы, і ён не друкуе прыватны ключ. Вывад стану і журнала OpenVPN дае стан злучэння і памылкі без убудаваных блокаў ключа. І таго, і другога дастаткова, каб убачыць, ці завяршаецца рукапоціск, ці рухаюцца лічыльнікі і які пір выкарыстоўваецца, што дапаможнік wg апісвае як від стану.

Калі памочнік просіць канфігурацыю раней, чым гэты вывад, спытайце, што канфігурацыя паказала б таго, чаго не паказвае стан.

Дзе хаваюцца сакрэты ў кожным фармаце

Файлы канфігурацыі WireGuard утрымліваюць радкі PrivateKey, а публічныя ключы піраў і метаданыя канцавых пунктаў усё ящчэ ідэнтыфікуюць нават без іх. Профілі OpenVPN могуць убудаваць блокі <key> і <tls-crypt> або спасылацца на асобныя файлы, што падарожнічаюць з профілем. Архіў падтрымкі кліента можа ўтрымліваць значна больш, чым паказвае акно журнала, уключаючы кэшаваныя профілі, пра існаванне якіх вы забыліся. Здымкі экрана — іншая распаўсюджаная ўцечка, бо акно тэрмінала паказвае больш, чым каманда, якой вы хацелі падзяліцца.

Прачытайце дакументацыю па экспарце, потым адкрыйце файл. Вывад з пазнакай дыягностыкі не абавязкова ачышчаны ад чагосьці.

Замаскуйце, потым дашліце прагледжаную копію

Трымайце арыгінал у абароненым месцы і дасылайце прагледжаную копію. Замяняйце канцавыя пункты і публічныя ключы стабільнымі запаўняльнікамі, калі сапраўдныя значэнні не патрэбныя, і выдаляйце блокі прыватнага ключа цалкам, а не часткова засланяйце іх. Частковае замаскіраванне блока base64 — гэта ўсё яшчэ ўцечаны ключ. Прачытайце файл ящчэ раз перад адпраўкай, бо архівы часта нясуць другую копію таго ж профілю.

Карыстайцеся правераным каналам і праверце, хто яго атрымлівае, перш чым нешта прымацаваць.

Калі ключ ужо ўцёк

Выдаленне паведамлення не вяртае копіі, якія іншыя ўжо маюць. Правядзіце ратацыю асобы праз працэс адклікання і замены ў аператара і лічыце стары ключ скампраметаваным з моманту адпраўкі. Большасьць аператараў хутка заменяць асобу кліента, як толькі паведамяць пра выкрыццё, а менавіта паведамленне людзі і адкладваюць.

Тое ж правіла дзейнічае для ключа, устаўленага ў заяўку або здымак экрана або ланцуг чата. Ратацыя — гэта рашэнне; выдаленне — гэта прыбіранне.