El teu perfil de VPN porta una clau privada, no només ajustos

Tothom que enganxa un perfil de VPN en un fil de fòrum parteix de la mateixa creença. El fitxer només conté una adreça de servidor i unes quantes opcions, així que compartir-lo sembla compartir un número de telèfon. Després algú el llegeix i troba una clau privada sense xifrar a la quarta línia.

El perfil no és documentació sobre el túnel. És la identitat del túnel, escrita.

Els objectes del fitxer no comparteixen nivell de secret

Un certificat CA públic està fet per viatjar. Una clau privada de client, no. Quan tots dos apareixen al mateix fitxer, l’inofensiu fa que tot l’adjunt sembli segur. Aquesta és la trampa.

OpenVPN ho empitjora per disseny. Permet incrustar certificats, claus i material d’autenticació directament al fitxer. Això és còmode per desplegar i desastrós per compartir. El fitxer que comença amb un bloc de certificat llegible continua fins a la meitat privada.

WireGuard és més directe. La secció d’interfície porta una clau privada, i cada peer pot portar a més una clau prèviament compartida. No hi ha cap ambigüitat sobre quines línies importen. Gairebé totes importen.

Una captura de pantalla és la mateixa filtració en un altre format

Codificar una configuració com a codi QR no la converteix en una vista prèvia. El codi porta els mateixos bytes, i qualsevol càmera de telèfon de la sala el pot descodificar. El mateix val per a una captura de la finestra de configuració d’un client, on la clau es llegeix a la cantonada.

Els fitxers d’autenticació i les rutes de clau referenciades formen part de la mateixa auditoria. Un perfil que apunta a un fitxer extern no és automàticament més segur, perquè la ruta pot arribar a un lloc on un lector tingui accés. Un token en un fitxer d’autenticació és tan utilitzable com una contrasenya, i poques vegades ho sembla.

Envia el text de l’error, no la clau

El diagnòstic necessita el text de l’error, la versió del client i els noms de les opcions provades. No necessita la clau. Escriu la pregunta amb aquestes tres coses, i substitueix cada secret i cada identificador de xarxa innecessari abans que el fitxer surti de la teva màquina.

La secció del manual d’OpenVPN sobre fitxers incrustats és un mapa útil d’on són aquests objectes. També recorda quants en pot contenir un sol perfil.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Després llegeix l’adjunt final en lloc de confiar en la memòria de l’edició. Les claus s’amaguen en blocs posteriors, en un comentari no redactat i en una línia que vas decidir que era estructural.

Després d’una exposició, la rotació és l’única reparació

Esborrar la publicació no revoca res. Qui va rebre el fitxer encara té una credencial vàlida, i per això l’emissor ha de revocar-la o substituir-la mitjançant el procés propi del servei. Eliminar una còpia local no canvia res a l’altre extrem.

Guarda els perfils de treball amb un mètode protegit, i elimina les entrades importades obsoletes a propòsit en lloc de deixar tres còpies en una carpeta de baixades. Un perfil que ja no fas servir encara és una credencial fins que es revoca.

L’hàbit que val la pena construir és petit. Abans que cap perfil surti de la màquina, pregunta què més hi ha a més de l’adreça, i respon llegint el fitxer en lloc de recordar-lo.