A allwch rannu allwedd gyhoeddus VPN? Gwiriwch y tri pheth hyn

Gallwch roi eich allwedd gyhoeddus VPN i gyfoedyn, i ddarparwr neu i fforwm, ac mae’r tiwnel yn dal i weithio. Ni allwch drosglwyddo’r allwedd breifat, hyd yn oed i’r tîm cymorth, heb drosglwyddo’r hunaniaeth y mae’r allwedd honno’n ei phrofi. Anaml y mae’r penderfyniad mor glir, oherwydd bod pobl yn drysu pa hanner o’r pâr y maent yn edrych arno, ac oherwydd bod rhai gosodiadau’n trin y gwerth cyhoeddus fel enw. Mae tri gwiriad yn setlo hyn: pa hanner sydd gennych, beth mae’r gosodiad yn ei rwymo iddo, a beth yw cost disodli.

Gwiriad un: pa hanner o’r pâr sydd yn eich clipfwrdd

Mae allweddi anghymesur yn dod mewn parau, a chyfeiriad y deilliad yw’r holl bwynt. Yn WireGuard, allwedd breifat yw 32 beit ar hap ac mae’r allwedd gyhoeddus yn cael ei chyfrif o’r hon; ni allwch fynd y ffordd arall. wg genkey yn ysgrifennu’r gwerth preifat, wg pubkey yn deillio’r un cyhoeddus, a dim ond yr ail sy’n perthyn i neges at gyfoedyn.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Mae byd tystysgrifau’n defnyddio’r un rhaniad gyda mwy o rannau symudol. Mae tystysgrif gweinydd yn cario allwedd gyhoeddus ynghyd ag enwau, ac mae’n cael ei llorio gan allwedd breifat CA nad yw byth yn gadael y CA. Mae cleient sy’n gwirio’r gweinydd hwnnw angen tystysgrif y CA, sy’n gyhoeddus, ac nid oes angen allwedd llorio breifat y CA arno o gwbl.

Os ydych yn ansicr pa werth sydd gennych, chwiliwch am y marc yn hytrach na’r enw ffeil. Mae bloc PEM sy’n dechrau gyda -----BEGIN PRIVATE KEY-----, neu’r ffurf hŷn BEGIN RSA PRIVATE KEY, yn yr hanner cyfrinachol. Mae gwerth y gallwch ei ludo heb y marc hwnnw yn ymgeisydd i’w rannu, yn amodol ar y ddau wiriad nesaf.

Gwiriad dau: beth mae’r gosodiad yn ei rwymo i’r gwerth cyhoeddus hwnnw

Mae diogelwch cryptograffig ac anhysbysrwydd yn briodweddau gwahanol. Mae allwedd gyhoeddus cyfoedyn WireGuard yn ddynodwr sefydlog o fewn y gosodiad: mae config y gweinydd yn ei restru, mae’r ysgwyd llaw yn ei enwi, ac mae gweinyddwr sy’n darllen logiau’n gweld yr un llinyn bob tro y mae’r cyfoedyn hwnnw’n cysylltu. Postiwch yr allwedd wrth ymyl cwestiwn am eich sefydliad, ac rydych wedi cysylltu’r llinyn hwnnw â phopeth arall yn y post.

Mae tystysgrifau’n gollwng hunaniaeth trwy ddyluniad. Mae’r meysydd Subject a subject alternative name yn ddarllenadwy, ac ar gyfer tystysgrifau TLS a ymddiriedir yn gyhoeddus cyhoeddir y dystysgrif ei hun yn logiau Certificate Transparency, sy’n chwiladwy. Nid oes unrhyw beth o hynny’n dangos allwedd breifat, ac mae pob un yn dangos perthynas.

Dyma lle mae gosodiadau’n wahanol, ac mae hynny’n penderfynu’r ateb. Mae cyfoedyn prawf dros dro ar weinydd labordy’n wrthrych gwahanol i’r allwedd sy’n nodi pwynt terfyn safle-i-safle cwmni, hyd yn oed os yw’r beitiau’n edrych yn unfath.

Gwiriad tri: beth allwch ei ddirymu, a pha mor gyflym

Mae’r trydydd gwiriad yn gwahanu’r ddau hanner yn llwyr. Gellir disodli allwedd gyhoeddus sydd wedi’i chyhoeddi yn ôl eich amserlen. Ni ellir tynnu’n ôl allwedd breifat sydd wedi’i chyhoeddi: nid yw dileu eich copi chi’n cyffwrdd copïau sydd eisoes wedi’u cymryd, ac mae pob cyfoedyn a ymddiriedai ynddi bellach yn ymddiried mewn rhywbeth y mae rhywun o’r tu allan yn ei ddal.

Gweithred ffurfweddu yw dirymu, nid gweithred cryptograffig. Nid yw WireGuard yn cynnwys rhestr ddirymu, felly byddwch yn tynnu’r cyfoedyn:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN mae gosodiadau wedi’u hadeiladu ar dystysgrifau’n dirymu’r dystysgrif ac yn cyhoeddi CRL y mae’r gweinydd yn ei wirio’n wirioneddol drwy crl-verify. Heb y cyfarwyddeb hwnnw mae’r rhestr ddirymu’n addurn yn unig. Naill ffordd neu’r llall, mae’r dilyniant yr un fath: cyhoeddwch ddisodliad, dosbarthwch ef drwy’r sianel a gefnogir, yna ymddeolwch yr hen hunaniaeth.

Y camgymeriadau sy’n dod o uno’r tri gwiriad

Nid person yn penderfynu cyhoeddi allwedd breifat yw’r rhan fwyaf o ollyngiadau go iawn. Proffil cyfan wedi’i ludo i fforwm ydynt: WireGuard .conf gyda llinell PrivateKey, neu becyn .ovpn gyda bloc allwedd mewnol, neu sgrinlun o ffenestr cleient sy’n digwydd cynnwys maes yr allwedd. Roedd y gwerth cyhoeddus yn iawn mae’n debyg; teithiodd gyda’r rhan nad oedd.

Llifoedd gwaith cymorth yw’r ail ffynhonnell. Nid oes angen eich allwedd breifat ar unrhyw gam gwirio dilys, oherwydd bod yr ochr arall yn deillio’r hyn sydd ei angen o’r hanner cyhoeddus. Pan fydd ffurflen neu berson yn gofyn am y gwerth preifat, yr ateb cywir yw’r un cyhoeddus ynghyd â’r gorchymyn lleol sy’n ei gynhyrchu.

Mae logiau a sgrinluniau yn perthyn i’r un categori. Gall allbwn diagnostig gario deunydd allwedd, dynodyddion sesiwn a chyfeiriadau mewnol, ac mae postio’r cyfan i gael ateb i un cwestiwn yn cyfnewid hwylustod bach am amlygiad mwy.

Ar ôl i werth preifat ollwng, ymddeolwch yr hunaniaeth

Os aeth gwerth preifat allan, tridiwch yr hunaniaeth honno fel un wedi ymddeol. Cynhyrchwch bâr newydd, gosodwch yr hanner cyhoeddus lle mae cyfoedion yn ei ddisgwyl, tynnwch yr hen gyfoedyn neu ddirymwch yr hen dystysgrif, a gwiriwch y lleoedd lle gwnaethoch ei gyhoeddi. Ni allwch ddileu copïau nad ydych yn eu rheoli, felly mae tynnu’n ymwneud â’r dyfodol, nid â’r gorffennol.

Yna ysgrifennwch y dosbarthiad: pa allwedd sy’n perthyn i ba ddyfais, pwy sy’n dal copi, sut y caiff disodliad ei ddosbarthu, a phwy sy’n tynnu cyfoedyn sydd wedi ymddeol. Y rhannau hynny y mae pobl yn eu hanghofio, ac nhw sy’n penderfynu pa mor hir y mae gollyngiad yn parhau’n ddefnyddiol.