Не ви трябва частният ключ, за да отстранявате грешки във VPN

Заявката звучи разумно: изпратете конфигурацията, за да види поддръжката какво не е наред. Именно така частните ключове се озовават в системи за заявки и чат логове. Конфигурацията е самоличност, не диагностика, и човекът, който отстранява грешки в тунела ви, почти никога не се нуждае от половината, която доказва кой сте. Изходът за състояние отговаря на същите въпроси без този риск.

Митът е, че конфигурацията е единственият пълен изглед. Тя е най-малко безопасният пълен изглед.

Митът: поддръжката се нуждае от конфигурацията

На поддръжката са нужни текстът на грешката, версиите на клиента и сървъра, крайната точка, състоянието на ръкостискането и реда на събитията. Всичко това е състояние. Конфигурацията добавя ключове, а ключовете са това, което позволява на някой друг да бъде вие. Да предадете конфигурация, за да поправите проблем с маршрутизацията, е като да изпратите паспорта си по пощата, за да обясните закъснял полет. Заявката обикновено идва от някой, който никога не е виждал мрежата ви, и иска нещото, което е най-лесно за прикачване.

Изпратете най-малкия изход, който отговаря на въпроса, а не най-големия, който можете да намерите.

Какво всъщност показва състоянието

wg show на WireGuard показва интерфейси, партньори, разрешени IP адреси, крайни точки, последното ръкостискане и броячи на трафика и не показва частния ключ. Изходът за състояние и журналът на OpenVPN дават състоянието на връзката и грешките без вградените блокове с ключове. И двете са достатъчни, за да се види дали ръкостискането завършва, дали броячите се движат и кой партньор се използва, което ръководството на wg документира като изглед за състояние.

Ако помощник поиска конфигурация, преди да поиска този изход, попитайте какво би показала конфигурацията, което състоянието не показва.

Къде се крият тайни във всеки формат

Конфигурационните файлове на WireGuard съдържат редове PrivateKey, а публичните ключове на партньорите плюс метаданните за крайната точка все още идентифицират дори без тях. Профилите на OpenVPN могат да вградят блокове <key> и <tls-crypt> или да сочат към отделни файлове, които пътуват с профила. Архивът за поддръжка на клиента може да съдържа много повече от това, което показва прозорецът на журнала, включително кеширани профили, за които сте забравили, че съществуват. Снимките на екрана са другата честа причина за изтичане, защото терминалният прозорец показва повече от командата, която сте искали да споделите.

Прочетете документацията за експортиране, после отворете файла. Изход, обозначен като диагностика, не е задължително изчистен от каквото и да е.

Редактирайте, после изпратете прегледано копие

Пазете оригинала на защитено място и изпращайте прегледано копие. Заменяйте крайните точки и публичните ключове със стабилни заместители, когато истинските стойности не са нужни, и премахвайте блоковете с частен ключ изцяло, вместо да ги закривате частично. Частичното закриване на base64 блок все още е изтекъл ключ. Прочетете файла още веднъж, преди да тръгне, защото архивите често носят второ копие на същия профил.

Използвайте проверен канал и проверете кой го получава, преди да прикачите нещо.

Ако ключ вече е изтекъл

Изтриването на съобщението не връща копията, които други вече имат. Ротирайте самоличността чрез процеса на отземане и замяна на оператора и третирайте стария ключ като компрометиран от момента, в който е изпратен. Повечето оператори бързо ще сменят самоличността на клиента, след като излагането бъде докладвано, а докладването е частта, която хората отлагат.

Същото правило важи за ключ, поставен в заявка, снимка на екрана или чат нишка. Ротацията е решението; изтриването е домашна работа.