Možete li podijeliti javni ključ VPN-a? Provjerite ove tri stvari

Javni ključ VPN-a možete predati drugom računaru, provajderu ili forumu i tunel će i dalje raditi. Privatni ključ ne možete predati, čak ni podršci, a da pritom ne predate identitet koji taj ključ dokazuje. Odluka rijetko ostaje tako čista, jer ljudi brkaju koju polovinu para gledaju i jer neka postavljanja tretiraju javnu vrijednost kao ime. Tri provjere to rješavaju: koju polovinu imate, za šta je postavljanje vezuje i koliko košta zamjena.

Provjera prva: koja je polovina para u vašem međuspremniku

Asimetrični ključevi dolaze u parovima, a smjer izvođenja je cijela poenta. U WireGuardu je privatni ključ 32 slučajna bajta, a javni ključ se izračunava iz njega; u suprotnom smjeru ne može. wg genkey upisuje privatnu vrijednost, wg pubkey izvodi javnu, i samo druga pripada poruci upućenoj drugom računaru.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Svijet certifikata koristi istu podjelu s više pokretnih dijelova. Serverski certifikat nosi javni ključ i imena, a potpisuje ga privatni ključ certifikacijskog tijela koji nikada ne napušta to tijelo. Klijent koji provjerava taj server treba certifikat tijela, koji je javan, i nema nikakve koristi od privatnog ključa za potpisivanje.

Ako niste sigurni koju vrijednost držite, tražite oznaku, a ne ime datoteke. PEM blok koji počinje sa -----BEGIN PRIVATE KEY-----, ili stariji oblik BEGIN RSA PRIVATE KEY, tajna je polovina. Vrijednost koju možete zalijepiti bez te oznake kandidat je za dijeljenje, uz uslov sljedećih dvije provjere.

Provjera druga: za šta postavljanje vezuje tu javnu vrijednost

Kriptografska sigurnost i anonimnost su različita svojstva. Javni ključ WireGuard računara stabilan je identifikator unutar postavljanja: serverska konfiguracija ga navodi, rukovanje ga imenuje, a administrator koji čita zapise vidi isti niz svaki put kada se taj računar poveže. Objavite ključ uz pitanje o svom postavljanju i taj ste niz povezali sa svim ostalim u objavi.

Certifikati odaju identitet po dizajnu. Polja Subject i subject alternative name su čitljiva, a za javno pouzdane TLS certifikate sam certifikat se objavljuje u zapisima Certificate Transparency, koji su pretraživi. Ništa od toga ne otkriva privatni ključ, a sve to otkriva odnos.

Tu se postavljanja razlikuju i to odlučuje odgovor. Privremeni testni računar na laboratorijskom serveru drugi je objekt od ključa koji identifikuje korporativnu tačku između lokacija, iako bajtovi izgledaju identično.

Provjera treća: šta možete opozvati i koliko brzo

Treća provjera potpuno razdvaja dvije polovine. Javni ključ koji je objavljen može se zamijeniti po vašem rasporedu. Privatni ključ koji je objavljen ne može se povući: brisanje vaše kopije ne dira kopije koje su već uzete, a svaki računar koji mu je vjerovao sada vjeruje nečemu što drži neko spolja.

Opoziv je radnja u konfiguraciji, ne kriptografska radnja. WireGuard ne isporučuje listu opoziva, pa računar uklanjate:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN postavljanja zasnovana na certifikatima opozivaju certifikat i objavljuju CRL koji server zaista provjerava kroz crl-verify. Bez te direktive lista opoziva je samo ukras. U svakom slučaju redoslijed je isti: izdajte zamjenu, podijelite je podržanim kanalom, pa umirovite stari identitet.

Greške koje nastaju kad se tri provjere spoje u jednu

Većina stvarnih curenja nije osoba koja odluči objaviti privatni ključ. To je cijeli profil zalijepljen na forum: WireGuard .conf s redom PrivateKey, ili paket .ovpn s umetnutim blokom ključa, ili snimak ekrana klijentskog prozora u koji je slučajno ušlo polje ključa. Javna vrijednost je vjerovatno bila ispravna; putovala je s dijelom koji nije bio.

Tokovi rada podrške drugi su izvor. Nijedan legitiman korak provjere ne traži vaš privatni ključ, jer druga strana izvodi ono što joj treba iz javne polovine. Kada obrazac ili osoba zatraži privatnu vrijednost, tačan odgovor je javna vrijednost plus lokalna naredba koja je proizvodi.

Zapisi i snimci ekrana pripadaju istoj kategoriji. Dijagnostički izlaz može nositi ključni materijal, identifikatore sesija i unutrašnje adrese, a objavljivanje svega toga da bi se dobio odgovor na jedno pitanje mijenja malu udobnost za veću izloženost.

Nakon što privatna vrijednost iscuri, umirovite identitet

Ako je privatna vrijednost ipak izašla, tretirajte taj identitet kao umirovljen. Generirajte novi par, instalirajte javnu polovinu gdje je računari očekuju, uklonite stari računar ili opozovite stari certifikat i provjerite mjesta na kojima ste ga objavili. Ne možete izbrisati kopije koje ne kontrolišete, pa uklanjanje tiče budućnosti, ne prošlosti.

Zatim zapišite distribuciju: koji ključ pripada kojem uređaju, ko drži kopiju, kako se dostavlja zamjena i ko uklanja umirovljeni računar. To su dijelovi koje ljudi zaboravljaju i oni odlučuju koliko dugo curenje ostaje korisno.