Váš profil VPN nese privátní klíč, ne jen nastavení

Adresy serverů stojí vedle privátních klíčů, vložených tajemství a tokenů. Než profil vložíte do vlákna podpory, zjistěte, které řádky tvoří identitu.

Každý, kdo vloží profil VPN do vlákna fóra, vychází ze stejného přesvědčení. Soubor obsahuje jen adresu serveru a několik možností, takže jeho sdílení působí jako sdílení telefonního čísla. Pak ho někdo přečte a ve čtvrtém řádku najde nešifrovaný privátní klíč.

Profil není dokumentace o tunelu. Je to identita tunelu, vypsaná.

Objekty v souboru nemají stejnou úroveň utajení

Veřejný certifikát CA má cestovat. Privátní klíč klienta ne. Když se oba objeví ve stejném souboru, ten neškodný dělá celou přílohu bezpečnou. To je past.

OpenVPN to svým designem zhoršuje. Umožňuje vložit certifikáty, klíče a autentizační materiál přímo do souboru. To je pohodlné pro nasazení a katastrofální pro sdílení. Soubor, který začíná čitelným blokem certifikátu, pokračuje do soukromé poloviny.

WireGuard je otevřenější. Sekce rozhraní nese privátní klíč a každý peer může navrch nést i předem sdílený klíč. Není žádná nejasnost o tom, které řádky jsou důležité. Téměř každý řádek je.

Snímek obrazovky je stejný únik v jiném formátu

Kódování konfigurace jako QR kód z ní nedělá náhled. Kód nese stejné bajty a kterákoli kamera telefonu v místnosti ho dokáže dekódovat. Totéž platí pro snímek okna konfigurace klienta, kde je klíč čitelný v rohu.

Autentizační soubory a odkazované cesty ke klíčům patří do stejného auditu. Profil, který ukazuje na externí soubor, není automaticky bezpečnější, protože cesta může vést někam, kam se čtenář dostane. Token v autentizačním souboru je stejně použitelný jako heslo a málokdy tak vypadá.

Pošlete text chyby, ne klíč

Diagnóza potřebuje text chyby, verzi klienta a názvy vyzkoušených voleb. Klíč nepotřebuje. Napište otázku s těmito třemi věcmi a nahraďte každé tajemství a každý zbytečný síťový identifikátor, než soubor opustí váš stroj.

Sekce manuálu OpenVPN o vložených souborech je užitečná mapa, kde tyto objekty leží. Je také připomínkou, kolik jich jeden profil může obsahovat.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Pak si přečtěte konečnou přílohu, místo abyste věřili své paměti úpravy. Klíče se skrývají v pozdějších blocích, v neredigovaném komentáři a v řádku, který jste rozhodli, že je strukturální.

Po vyzrazení je rotace jediná oprava

Smazání příspěvku nic neodvolá. Kdo soubor dostal, má stále funkční pověření, proto jej vydavatel musí odvolat nebo nahradit prostřednictvím vlastního procesu služby. Odebrání místní kopie na vzdáleném konci nic nemění.

Pracovní profily ukládejte chráněnou metodou a zastaralé importované položky záměrně odstraňujte, místo abyste nechávali tři kopie ve složce ke stažení. Profil, který už nepoužíváte, je stále pověřením, dokud není odvolán.

Návyk, který stojí za to budovat, je malý. Než jakýkoli profil opustí stroj, zeptejte se, co dalšího v něm kromě adresy je, a odpovězte čtením souboru, ne vzpomínáním na něj.

Související články