Redactar un registre de VPN sense perdre les pistes que importen

Enganxes un registre en un fil de suport, una resposta assenyala que conté la teva clau privada, i l'enganxada és permanent. La fallada més silenciosa apareix més tard, quan cada adreça s'ha convertit en X i el fitxer ja no demostra que el client i el servidor eren amfitrions diferents. Una passada de redacció elimina el que dona accés o identifica una persona, i conserva el que explica la fallada. Això és una transformació amb regles, no una eliminació amb un quadre de cerca.

La redacció és una transformació, no una eliminació

Un registre porta estructura i també valors: aquesta adreça va parlar amb aquella, en aquest moment, i l'handshake es va aturar en aquest pas. Els valors són el que fa perillós publicar el fitxer. L'estructura és el que el fa digne de publicació.

Eliminar línies senceres treu les dues coses alhora, i per això un registre retallat sovint no respon res. Col·lapsar cada valor en un sol testimoni falla d'una manera diferent, perquè dos parells diferents es converteixen en un sol actor. Totes dues passades poden semblar ordenades i tot i així destruir la prova. La prova és si un lector que mai ha vist la teva xarxa pot seguir la seqüència i arribar a la conclusió a què vas arribar tu.

Primer l'extracte, després la depuració

Retalla la secció al voltant de la fallada abans d'editar res. Un extracte més petit és més fàcil d'inspeccionar i és menys probable que porti alguna cosa que havies oblidat que era al fitxer. Guarda l'original intacte en un emmagatzematge protegit fins que el cas es tanqui. La redacció té pèrdues, i el fitxer en brut és l'única manera de respondre la pregunta de seguiment.

Llegeix l'extracte com a text pla abans de confiar que una ordre d'exportació ha eliminat les parts privades, perquè els exportadors resumeixen i roten camps en lloc de sanejar-los. Els modes de depuració i detallat són el lloc més probable per a un bloc de clau o una credencial en línia. Obre el fitxer en un editor que mostri línies senceres, no en un visor que ajusta i amaga la cua.

Què ha de marxar, i en quin ordre

Comença pel material que dona accés, perquè un encert perdut aquí acaba l'exercici: blocs de clau privada, contrasenyes, claus prèviament compartides, testimonis d'API, codis de recuperació. No només identifiquen; són utilitzables per qui llegeixi el fil. Una passada que elimini tota la resta i deixi un d'aquests ha fallat.

Després la capa d'identitat: noms d'usuari, subjectes de certificat i números de sèrie, identificadors de compte i qualsevol camí que contingui el nom d'una persona. Res d'això és utilitzable sol, però junt identifica una persona, i aquesta és la part que un fil públic no necessita.

Després la capa de topologia, i aquí és on entra el judici. Les adreces públiques, els rangs interns i els noms d'amfitrió es poden substituir quan la seva revelació no serveix a cap propòsit de diagnòstic, i les etiquetes estables superen els espais en blanc. L'ordre importa perquè les capes anteriors són absolutes i l'última és una decisió. Treballar en aquest ordre també evita que passis una hora amb els noms d'amfitrió mentre un bloc de clau és a la línia quaranta.

No destrueixis les relacions

Dona a cada valor real un sol marcador de posició i reutilitza'l cada vegada que aparegui aquest valor. Si dues adreces eren diferents, han de continuar sent diferents després de la passada, o el lector conclourà que el client es va connectar a si mateix. La consistència és tot el mecanisme: el lector aprèn la correspondència veient com una etiqueta es repeteix. Un sol testimoni reutilitzat per a dos actors és la manera més ràpida de fer un registre il·legible.

L'ordre i el temps formen part de la mateixa estructura. Mantén la seqüència intacta, i si desplaces marques de temps, desplaça-les totes en la mateixa quantitat i digues-ho en una línia. Barrejar temps alterats i reals és pitjor que eliminar-los, perquè llavors els buits semblen proves d'alguna cosa que mai va passar.

Els ports, el protocol i la direcció es queden com són. Un marcador de posició a l'adreça no requereix un marcador de posició al port.

Conserva la pregunta que el registre ha de respondre

Anota els camps que necessita un ajudant abans de començar a editar: el text exacte de l'error que no és secret, les versions de client i servidor, el transport i quin costat va iniciar l'intent. Són els que permeten a un desconegut reconèixer la fallada. Tenir la llista al costat converteix la passada en una comprovació en lloc d'una esperança.

Quan enviïs el fitxer, afegeix una línia que digui què s'ha substituït, perquè ningú no passi una hora diagnosticant un nom d'amfitrió de farciment. La documentació sobre registres de diagnòstic d'OpenVPN enumera els camps que porten els seus registres, i aquesta és la llista que estàs a punt de canviar. Pregunta abans d'enviar un bolcat de memòria o una captura de paquets, i utilitza el canal de suport que puguis verificar. Aquests artefactes contenen molt més que el registre de text, i part d'això no és teu per publicar.

Llegeix l'extracte acabat una vegada de la primera a l'última línia, incloent-hi el principi i el final. Les captures de pantalla mereixen més desconfiança que el text, perquè porten altres finestres, noms de compte i elements de menú.