Du behøver ikke den private nøgle for at fejlfinde en VPN

Anmodningen lyder rimelig: send konfigurationen, så supporten kan se, hvad der er galt. Det er også sådan private nøgler ender i ticketsystemer og chatlogs. En konfiguration er en identitet, ikke en diagnostik, og den person, der fejlfinder din tunnel, har næsten aldrig brug for den halvdel, der beviser, hvem du er. Statusoutput besvarer de samme spørgsmål uden den risiko.

Myten er, at en konfiguration er det eneste komplette billede. Det er det mindst sikre komplette billede.

Myten: supporten har brug for konfigurationen

Supporten har brug for fejlteksten, klient- og serverversionerne, endpointet, handshaketilstanden og rækkefølgen af hændelser. Alt det er status. En konfiguration tilføjer nøgler, og nøgler er det, der lader en anden være dig. At udlevere en konfiguration for at rette et routingproblem er som at sende sit pas med posten for at forklare et forsinket fly. Anmodningen kommer som regel fra en, der aldrig har set dit netværk, og beder om det, der er nemmest at vedhæfte.

Send det mindste output, der besvarer spørgsmålet, ikke det største, du kan finde.

Hvad status faktisk viser

WireGuards wg show udskriver interfaces, peers, tilladte IP-adresser, endpoints, det seneste handshake og overførselsstællere, og det udskriver ikke den private nøgle. OpenVPNs status- og logoutput giver forbindelsestilstand og fejl uden de indlejrede nøgleblokke. Begge er nok til at se, om et handshake fuldføres, om tællere flytter sig, og hvilken peer der er i brug, hvilket wg-manualen dokumenterer som statusvisningen.

Hvis en hjælper beder om en konfiguration, før han beder om det output, så spørg, hvad konfigurationen ville vise, som status ikke viser.

Hvor hemmeligheder gemmer sig i hvert format

WireGuard-konfigurationsfiler indeholder PrivateKey-linjer, og offentlige peer-nøgler plus endpoint-metadata er stadig identificerende, selv uden dem. OpenVPN-profiler kan indlejre <key>- og <tls-crypt>-blokke eller pege på separate filer, der rejser med profilen. En klients supportarkiv kan indeholde langt mere, end logvinduet viser, herunder cachelagrede profiler, du havde glemt fandtes. Skærmbilleder er den anden almindelige lækage, fordi et terminalvindue viser mere end den kommando, du ville dele.

Læs eksportdokumentationen, og åbn derefter filen. Et output mærket diagnostik er ikke nødvendigvis renset for noget.

Rediger, og send så en gennemgået kopi

Opbevar originalen et beskyttet sted, og send en gennemgået kopi. Erstat endpoints og offentlige nøgler med stabile pladsholdere, når de rigtige værdier ikke er nødvendige, og fjern private nøgleblokke helt i stedet for delvist at sløre dem. Delvis sløring af en base64-blob er stadig en lækket nøgle. Læs filen én gang mere, før den forlader dig, fordi arkiver ofte bærer en anden kopi af den samme profil.

Brug en verificeret kanal, og kontroller, hvem der modtager den, før du vedhæfter noget.

Hvis en nøgle allerede er lækket

At slette beskeden genskaber ikke de kopier, andre allerede har. Roter identiteten gennem operatørens tilbagekaldelses- og udskiftningsproces, og behandl den gamle nøgle som kompromitteret fra det øjeblik, den blev sendt. De fleste operatører erstatter en klientidentitet hurtigt, når eksponeringen er rapporteret, og netop rapporteringen er det, folk udskyder.

Samme regel gælder for en nøgle indsat i en ticket, et skærmbillede eller en chat-tråd. Rotation er løsningen; sletning er oprydning.