No necessiteu la clau privada per depurar una VPN

La petició sona raonable: envieu la configuració perquè el suport pugui veure què va malament. També és així com les claus privades acaben en sistemes de tiquets i registres de xat. Una configuració és una identitat, no un diagnòstic, i la persona que depura el vostre túnel gairebé mai no necessita la meitat que demostra qui sou. La sortida d'estat respon les mateixes preguntes sense aquest risc.

El mite és que una configuració és l'única visió completa. És la visió completa menys segura.

El mite: el suport necessita la configuració

El suport necessita el text de l'error, les versions del client i del servidor, el punt final, l'estat de l'encaixada de mans i l'ordre dels esdeveniments. Tot això és estat. Una configuració afegeix claus, i les claus són el que permet a algú altre ser vosaltres. Lliurar una configuració per arreglar un problema d'encaminament és com enviar el passaport per correu per explicar un vol endarrerit. La petició sol venir d'algú que mai no ha vist la vostra xarxa i demana la cosa més fàcil d'adjuntar.

Envieu la sortida més petita que respongui la pregunta, no la més gran que trobeu.

Què mostra realment l'estat

El wg show de WireGuard mostra interfícies, parells, IP permeses, punts finals, l'última encaixada de mans i comptadors de transferència, i no mostra la clau privada. La sortida d'estat i de registre d'OpenVPN dona l'estat de la connexió i els errors sense els blocs de clau incrustats. Totes dues coses són suficients per veure si una encaixada de mans es completa, si els comptadors es mouen i quin parell s'utilitza, que és el que el manual de wg documenta com a vista d'estat.

Si un ajudant demana una configuració abans de demanar aquesta sortida, pregunteu què mostraria la configuració que l'estat no mostra.

On s'amaguen els secrets a cada format

Els fitxers de configuració de WireGuard contenen línies PrivateKey, i les claus públiques dels parells més les metadades del punt final encara identifiquen fins i tot sense elles. Els perfils d'OpenVPN poden incrustar blocs <key> i <tls-crypt> o apuntar a fitxers separats que viatgen amb el perfil. L'arxiu de suport d'un client pot contenir molt més del que mostra la finestra de registre, incloent-hi perfils en memòria cau que havíeu oblidat que existien. Les captures de pantalla són l'altra fuita habitual, perquè una finestra de terminal mostra més que l'ordre que volíeu compartir.

Llegiu la documentació d'exportació i després obriu el fitxer. Una sortida etiquetada com a diagnòstic no ha estat necessàriament netejada de res.

Redacteu i després envieu una còpia revisada

Guardeu l'original en un lloc protegit i envieu una còpia revisada. Substituïu els punts finals i les claus públiques per marcadors estables quan els valors reals no calguin, i traieu els blocs de clau privada del tot en lloc d'ocultar-los parcialment. L'ocultació parcial d'un blob base64 continua sent una clau filtrada. Llegiu el fitxer una vegada més abans que marxi, perquè els arxius sovint porten una segona còpia del mateix perfil.

Utilitzeu un canal verificat i comproveu qui el rep abans d'adjuntar res.

Si una clau ja s'ha filtrat

Esborrar el missatge no recupera les còpies que altres ja tenen. Roteu la identitat mitjançant el procés de revocació i substitució de l'operador i tracteu la clau antiga com a compromesa des del moment en què es va enviar. La majoria d'operadors substituiran ràpidament la identitat d'un client un cop reportada l'exposició, i el report és la part que la gent endarrereix.

La mateixa regla s'aplica a una clau enganxada en un tiquet, una captura de pantalla o un fil de xat. La rotació és la solució; esborrar és feina de casa.