Senden Sie ein VPN-Bündel an den richtigen Empfänger, nicht nur einen Schlüssel

Ein Partner sendet einen öffentlichen Schlüssel und bittet um ein verschlüsseltes Bündel. Die Verschlüsselung wird funktionieren, und sie kann einen perfekt geschützten Ausweis an jemanden liefern, der ihn nicht haben sollte. Geheimhaltung und Empfängeridentität sind zwei verschiedene Fragen, die von verschiedenen Mechanismen beantwortet werden. Beantworten Sie beide, bevor das Bündel Ihren Rechner verlässt.

Zwei verschiedene Fragen: Geheimhaltung und Empfänger

Verschlüsselung beantwortet, wer die Datei lesen kann, vorausgesetzt, der Schlüssel gehört der vorgesehenen Person. Eine Signatur beantwortet, wer sie erzeugt hat, und sagt nichts über Vertraulichkeit, denn eine signierte Datei kann weiterhin lesbar sein. Ein Fingerabdruck identifiziert einen Schlüssel, und nur eine unabhängige Prüfung verbindet diesen Fingerabdruck mit einer Person oder Rolle. Eines davon für das andere zu halten, ist der übliche Fehler bei einer Übergabe, die sorgfältig aussieht.

Die Datei hat auch einen Lebenszyklus: ein Link, der abläuft, begrenzt das spätere Abrufen, aber er widerruft keine Zugangsdaten, die bereits heruntergeladen wurden.

Prüfen Sie den Fingerabdruck außerhalb des Kanals

Holen Sie den erwarteten Fingerabdruck aus einem Kanal, der nicht von der Nachricht abhängt, die Sie zum Verschlüsseln auffordert. Vergleichen Sie ihn dann mit dem, was der lokale Schlüsselring enthält.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Die Fingerabdruckzeilen sind der zu vergleichende Wert, und der zweite Befehl zeigt dieselben Identitäten mit ihren vollständigen Fingerabdrücken für einen zweiten Blick. Bestätigen Sie die vollständige Zeichenfolge über einen Anruf, ein signiertes Verzeichnis oder einen verwalteten Einschreibungsdatensatz; ein vertrauter Anzeigename beweist nichts. Wenn der Schlüssel in derselben Nachricht ankam, die die Lieferung angefordert hat, ist sein Fingerabdruck kein unabhängiger Beleg. Importieren Sie den Schlüssel erst nach dieser Prüfung und verschlüsseln Sie auf den bestätigten Fingerabdruck statt auf einen Namen.

Liefern Sie nur das Material, das das Gerät braucht

Erstellen Sie ein Verzeichnis des Bündels, bevor Sie einen Transport wählen. Öffentliche Gateway-Einstellungen und ein öffentliches Vertrauenszertifikat sind Konfiguration, ein privater Client-Schlüssel ist ein Geheimnis, und ein Signaturschlüssel eines Ausstellers ist ein völlig anderes Gut. Wo das Einschreibungsmodell es erlaubt, behalten Sie den privaten Schlüssel auf dem Gerät und liefern Sie nur, was die Einschreibung abschließt. Ein VPN-Client braucht den Signaturschlüssel der CA nicht, um einen Server zu validieren, und ein gemeinsamer aktiver Schlüssel über Partner hinweg macht den individuellen Widerruf unmöglich.

Signieren Sie das Artefakt ebenfalls, wenn der Empfänger eine Substitution erkennen muss, und halten Sie die beiden Vorgänge in den Anweisungen getrennt. Halten Sie ein Bündel aus mehreren Dateien in einem Archiv, damit der Empfänger nicht die halbe Konfiguration installieren und dann melden kann, dass das Gateway die Identität ablehnt.

Schließen Sie den Lebenszyklus nach der Lieferung

Erfassen Sie Empfänger, Gerät, Konfigurationsrevision und Widerrufsweg, aber niemals den privaten Wert selbst. Bestätigen Sie, dass die vorgesehene Person sich einschreiben kann und dass eine andere Identität abgelehnt wird. Wenn das Bündel in falsche Hände gerät, ersetzen oder widerrufen Sie das akzeptierte Geheimnis über seinen Aussteller, denn das Löschen eines Anhangs macht nichts ungültig, was bereits heruntergeladen wurde. Ein passwortgeschütztes Archiv, dessen Passwort durch dieselbe Unterhaltung reist, ist ebenfalls keine unabhängige Prüfung.

Eine Übergabe ist abgeschlossen, wenn die richtige Identität auf dem richtigen Gerät aktiv ist, nicht wenn die verschlüsselte Datei erfolgreich hochgeladen wird.