Mae eich proffil VPN yn cario allwedd breifat, nid gosodiadau’n unig

Mae pawb sy’n gludo proffil VPN i edefyn fforwm yn dechrau o’r un gred. Dim ond cyfeiriad gweinydd a rhai opsiynau sydd yn y ffeil, felly mae ei rhannu’n teimlo fel rhannu rhif ffôn. Yna mae rhywun yn ei darllen ac yn dod o hyd i allwedd breifat heb ei hamgryptio ar y bedwaredd linell.

Nid dogfennaeth am y tiwnel yw’r proffil. Mae’n hunaniaeth y tiwnel, wedi’i hysgrifennu allan.

Nid yw’r gwrthrychau yn y ffeil yn rhannu’r un lefel o gyfrinachedd

Mae tystysgrif CA gyhoeddus wedi’i bwriadu i deithio. Nid yw allwedd breifat cleient. Pan fydd y ddau’n ymddangos yn yr un ffeil, mae’r un diniwed yn gwneud i’r atodiad cyfan edrych yn ddiogel. Dyna’r trap.

Mae OpenVPN yn gwaethygu hyn wrth ddylunio. Mae’n caniatáu tystysgrifau, allweddi a deunydd dilysu i’w mewnosod yn syth. Mae hynny’n gyfleus i’w osod ac yn drychinebus i’w rannu. Mae’r ffeil sy’n dechrau â bloc tystysgrif darllenadwy yn parhau i’r hanner preifat.

Mae WireGuard yn fwy blaen. Mae adran y rhyngwyneb yn cario allwedd breifat, a gall pob peer gario allwedd a rannwyd ymlaen llaw ar ben hynny. Nid oes unrhyw amwysedd ynghylch pa linellau sy’n bwysig. Mae bron bob llinell yn bwysig.

Mae sgrinlun yr un gollyngiad mewn fformat arall

Nid yw amgodio ffurfweddiad fel cod QR yn ei wneud yn ragolwg. Mae’r cod yn cario’r un beitiau, a gall unrhyw gamera ffôn yn yr ystafell ei ddatgodio. Mae’r un peth yn wir am sgrinlun o ffenestr ffurfweddiad cleient, lle mae’r allwedd i’w darllen yn y gornel.

Mae ffeiliau dilysu a llwybrau allwedd a gyfeirir atynt yn perthyn i’r un archwiliad. Nid yw proffil sy’n pwyntio at ffeil allanol yn ddiogelach yn awtomatig, oherwydd gall y llwybr arwain i rywle y gall darllenydd ei gyrraedd. Mae tocyn mewn ffeil dilysu mor ddefnyddiadwy â chyfrinair, ac anaml y mae’n edrych felly.

Anfonwch destun y gwall, nid yr allwedd

Mae angen testun y gwall, fersiwn y cleient ac enwau’r opsiynau a roddwyd ar brawf ar y diagnosis. Nid oes angen yr allwedd. Ysgrifennwch y cwestiwn gyda’r tri pheth hynny, a disodlwch bob cyfrinach a phob dynodwr rhwydwaith diangen cyn i’r ffeil adael eich peiriant.

Mae’r adran lawlyfr OpenVPN ar ffeiliau mewnosod yn fap defnyddiol o le mae’r gwrthrychau hynny. Mae hefyd yn atgof o faint ohonynt y gall un proffil eu dal.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Yna darllenwch yr atodiad terfynol yn hytrach na choelio eich cof am y golygiad. Mae allweddi’n cuddio mewn blociau diweddarach, mewn sylw heb ei olygu, ac mewn llinell y gwnaethoch benderfynu ei bod yn strwythurol.

Ar ôl datgeliad, cylchdroi yw’r unig atgyweiriad

Nid yw dileu’r post yn dirymu unrhyw beth. Mae gan bwy bynnag a gafodd y ffeil dystlysnod sy’n gweithio o hyd, a dyna pam y rhaid i’r dyroddwr ei ddirymu neu ei ddisodli drwy broses y gwasanaeth ei hun. Nid yw tynnu copi lleol yn newid dim ar y pen pellaf.

Storiwch broffiliau gweithio drwy ddull gwarchodedig, a dilewch gofnodion mewnforio hen ffasiwn yn fwriadol yn lle gadael tair copi mewn ffolder lawrlwytho. Mae proffil nad ydych yn ei ddefnyddio mwyach yn dystlysnod o hyd nes iddo gael ei ddirymu.

Mae’r arfer sy’n werth ei meithrin yn fach. Cyn i unrhyw broffil adael y peiriant, gofynnwch beth arall sydd ynddo heblaw’r cyfeiriad, ac atebwch drwy ddarllen y ffeil yn hytrach na’i chofio.