K ladění VPN nepotřebujete soukromý klíč

Žádost zní rozumně: pošlete konfiguraci, aby podpora viděla, co je špatně. Také tak se soukromé klíče dostanou do tiketovacích systémů a chatových protokolů. Konfigurace je identita, ne diagnostika, a člověk, který ladí váš tunel, téměř nikdy nepotřebuje tu polovinu, která dokazuje, kdo jste. Stavový výstup odpovídá na stejné otázky bez tohoto rizika.

Mýtus je, že konfigurace je jediný úplný pohled. Je to nejméně bezpečný úplný pohled.

Mýtus: podpora potřebuje konfiguraci

Podpora potřebuje text chyby, verze klienta a serveru, endpoint, stav handshake a pořadí událostí. To vše je stav. Konfigurace přidává klíče a klíče jsou to, co někkomu jinému umožní být vámi. Předat konfiguraci, abyste opravili problém s routingem, je jako poslat poštou pas, abyste vysvětlili zpožděný let. Žádost obvykle přichází od někoho, kdo nikdy neviděl vaši síť, a žádá věc, kterou je nejjednodušší přiložit.

Pošlete nejmenší výstup, který odpovídá na otázku, ne největší, jaký najdete.

Co stav vlastně ukazuje

WireGuard wg show vypisuje rozhraní, peery, povolené IP adresy, endpointy, poslední handshake a přenosová počítadla a nevypisuje soukromý klíč. Stavový a logovací výstup OpenVPN dává stav připojení a chyby bez vložených bloků klíčů. Obojí stačí k tomu, abyste viděli, zda handshake proběhne, zda se počítadla hýbou a který peer se používá, což manuál wg dokumentuje jako stavový pohled.

Pokud pomocník žádá konfiguraci dřív než tento výstup, zeptejte se, co by konfigurace ukázala, co stav neukazuje.

Kde se v každém formátu skrývají tajemství

Konfigurační soubory WireGuard obsahují řádky PrivateKey a veřejné klíče peerů spolu s metadaty endpointů stále identifikují i bez nich. Profily OpenVPN mohou vkládat bloky <key> a <tls-crypt> nebo odkazovat na samostatné soubory, které s profilem cestují. Podpůrný archiv klienta může obsahovat mnohem víc, než ukazuje okno logu, včetně kešovaných profilů, o kterých jste zapomněli, že existují. Snímky obrazovky jsou dalším častým únikem, protože okno terminálu ukazuje víc než příkaz, který jste chtěli sdílet.

Přečtěte si dokumentaci k exportu a pak soubor otevřete. Výstup označený jako diagnostika nemusí být od ničeho očištěn.

Zredigujte a pak pošlete zkontrolovanou kopii

Originál uložte na chráněném místě a posílejte zkontrolovanou kopii. Nahraďte endpointy a veřejné klíče stabilními zástupnými hodnotami, když skutečné hodnoty nejsou potřeba, a bloky soukromého klíče úplně odstraňte, místo abyste je částečně zakrývali. Částečné zakrytí bloku base64 je pořád uniklý klíč. Přečtěte soubor ještě jednou, než odejde, protože archivy často nesou druhou kopii stejného profilu.

Použijte ověřený kanál a před přiložením čehokoli zkontrolujte, kdo to přijímá.

Pokud klíč už unikl

Smazání zprávy neobnoví kopie, které už mají jiní. Otočte identitu procesem odvolání a nahrazení u operátora a považujte starý klíč za kompromitovaný od okamžiku, kdy byl odeslán. Většina operátorů rychle nahradí identitu klienta, jakmile je expozice nahlášena, a právě nahlášení lidé odkládají.

Stejné pravidlo platí pro klíč vložený do tiketu, snímku obrazovky nebo chatového vlákna. Rotace je řešení; mazání je uklízení.