Vaš VPN profil nosi privatni ključ, a ne samo postavke

Svako ko zalijepi VPN profil u forumsku temu polazi od istog uvjerenja. Datoteka sadrži samo adresu servera i nekoliko opcija, pa se njeno dijeljenje osjeća kao dijeljenje telefonskog broja. Zatim je neko pročita i pronađe nešifrirani privatni ključ u četvrtom redu.

Profil nije dokumentacija o tunelu. On je identitet tunela, ispisan.

Objekti u datoteci nemaju isti nivo tajnosti

Javni CA certifikat je namijenjen putovanju. Privatni ključ klijenta nije. Kad se oba pojave u istoj datoteci, bezopasni čini cijeli prilog sigurnim. To je zamka.

OpenVPN to po dizajnu pogoršava. Dozvoljava da se certifikati, ključevi i materijal za autentifikaciju ugrađuju direktno u datoteku. To je zgodno za uvođenje i katastrofalno za dijeljenje. Datoteka koja počinje čitljivim blokom certifikata nastavlja se u privatnu polovinu.

WireGuard je otvoreniji o tome. Sekcija interfejsa nosi privatni ključ, a svaki peer može povrh nositi i unaprijed dijeljeni ključ. Nema nejasnoće oko toga koji su redovi važni. Gotovo svaki red jest.

Snimak ekrana je isto curenje u drugom formatu

Kodiranje konfiguracije kao QR koda ne čini je pregledom. Kod nosi iste bajtove, a bilo koja kamera telefona u prostoriji može ga dekodirati. Isto vrijedi za snimak ekrana klijentovog prozora za konfiguraciju, gdje je ključ čitljiv u uglu.

Datoteke za autentifikaciju i navedene putanje do ključeva pripadaju istoj reviziji. Profil koji pokazuje na vanjsku datoteku nije automatski sigurniji, jer putanja može voditi negdje gdje čitalac može doći. Token u datoteci za autentifikaciju jednako je upotrebljiv kao lozinka, a rijetko izgleda kao ona.

Pošaljite tekst greške, ne ključ

Dijagnoza treba tekst greške, verziju klijenta i nazive opcija koje su isprobane. Ne treba ključ. Napišite pitanje s te tri stvari i zamijenite svaku tajnu i svaki nepotreban mrežni identifikator prije nego datoteka napusti vašu mašinu.

Odjeljak OpenVPN priručnika o ugrađenim datotekama korisna je mapa gdje se ti objekti nalaze. On je i podsjetnik koliko ih jedan profil može sadržavati.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Zatim pročitajte konačni prilog umjesto da vjerujete svom pamćenju izmjene. Ključevi se skrivaju u kasnijim blokovima, u neredigovanom komentaru i u redu za koji ste odlučili da je strukturni.

Nakon izlaganja, rotacija je jedini popravak

Brisanje objave ništa ne opoziva. Onaj ko je primio datoteku još ima ispravnu vjerodajnicu, zato izdavalac mora opozvati je ili zamijeniti kroz vlastiti proces usluge. Uklanjanje lokalne kopije ne mijenja ništa na dalekom kraju.

Čuvajte radne profile zaštićenom metodom i namjerno uklanjajte zastarjele uvezene stavke umjesto da ostavljate tri kopije u fascikli s preuzimanjima. Profil koji više ne koristite još je vjerodajnica dok se ne opozove.

Navika koju vrijedi izgraditi je mala. Prije nego bilo koji profil napusti mašinu, pitajte šta još sadrži osim adrese, i odgovorite čitanjem datoteke, a ne sjećanjem na nju.