Το προφίλ VPN σας περιέχει ιδιωτικό κλειδί, όχι μόνο ρυθμίσεις

Όποιος επικολλά ένα προφίλ VPN σε νήμα φόρουμ ξεκινά από την ίδια πεποίθηση. Το αρχείο περιέχει μόνο μια διεύθυνση διακομιστή και λίγες επιλογές, οπότε ο διαμοιρασμός του μοιάζει με διαμοιρασμό τηλεφωνικού αριθμού. Έπειτα κάποιος το διαβάζει και βρίσκει ένα μη κρυπτογραφημένο ιδιωτικό κλειδί στην τέταρτη γραμμή.

Το προφίλ δεν είναι τεκμηρίωση για τη σήραγγα. Είναι η ταυτότητα της σήραγγας, γραμμένη.

Τα αντικείμενα στο αρχείο δεν μοιράζονται το ίδιο επίπεδο μυστικότητας

Ένα δημόσιο πιστοποιητικό CA είναι φτιαγμένο για να ταξιδεύει. Ένα ιδιωτικό κλειδί πελάτη δεν είναι. Όταν και τα δύο εμφανίζονται στο ίδιο αρχείο, το ακίνδυνο κάνει ολόκληρο το συνημμένο να φαίνεται ασφαλές. Αυτή είναι η παγίδα.

Το OpenVPN το χειροτερεύει εκ σχεδιασμού. Επιτρέπει πιστοποιητικά, κλειδιά και υλικό ταυτοποίησης να ενσωματώνονται απευθείας. Αυτό είναι βολικό για ανάπτυξη και καταστροφικό για διαμοιρασμό. Το αρχείο που ξεκινά με αναγνώσιμο μπλοκ πιστοποιητικού συνεχίζει στο ιδιωτικό μισό.

Το WireGuard είναι πιο ευθύ. Η ενότητα διεπαφής φέρει ιδιωτικό κλειδί, και κάθε peer μπορεί να φέρει επιπλέον ένα προκοινοποιημένο κλειδί. Δεν υπάρχει ασάφεια για το ποιες γραμμές μετράνε. Σχεδόν κάθε γραμμή μετράει.

Ένα στιγμιότυπο οθόνης είναι η ίδια διαρροή σε άλλη μορφή

Η κωδικοποίηση μιας διαμόρφωσης ως κώδικα QR δεν την καθιστά προεπισκόπηση. Ο κώδικας φέρει τα ίδια byte, και οποιαδήποτε κάμερα τηλεφώνου στο δωμάτιο μπορεί να τον αποκωδικοποιήσει. Το ίδιο ισχύει για στιγμιότυπο του παραθύρου διαμόρφωσης ενός πελάτη, όπου το κλειδί είναι αναγνώσιμο στη γωνία.

Τα αρχεία ταυτοποίησης και οι διαδρομές κλειδιών που αναφέρονται ανήκουν στον ίδιο έλεγχο. Ένα προφίλ που δείχνει σε εξωτερικό αρχείο δεν είναι αυτόματα ασφαλέστερο, επειδή η διαδρομή μπορεί να καταλήξει κάπου όπου φτάνει ένας αναγνώστης. Ένα διακριτικό σε αρχείο ταυτοποίησης είναι εξίσου χρησιμοποιήσιμο με κωδικό πρόσβασης, και σπάνια μοιάζει με τέτοιο.

Στείλτε το κείμενο του σφάλματος, όχι το κλειδί

Η διάγνωση χρειάζεται το κείμενο του σφάλματος, την έκδοση του πελάτη και τα ονόματα των επιλογών που δοκιμάστηκαν. Δεν χρειάζεται το κλειδί. Γράψτε την ερώτηση με αυτά τα τρία, και αντικαταστήστε κάθε μυστικό και κάθε περιττό αναγνωριστικό δικτύου πριν το αρχείο φύγει από το μηχάνημά σας.

Η ενότητα του εγχειριδίου του OpenVPN για τα ενσωματωμένα αρχεία είναι ένας χρήσιμος χάρτης του πού βρίσκονται αυτά τα αντικείμενα. Είναι επίσης μια υπενθύμιση για το πόσα μπορεί να χωρέσει ένα μόνο προφίλ.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Έπειτα διαβάστε το τελικό συνημμένο αντί να εμπιστεύεστε τη μνήμη σας για την επεξεργασία. Τα κλειδιά κρύβονται σε μεταγενέστερα μπλοκ, σε ένα σχόλιο που δεν αποκρύφτηκε και σε μια γραμμή που κρίνατε δομική.

Μετά την έκθεση, η περιστροφή είναι η μόνη επισκευή

Η διαγραφή της ανάρτησης δεν ανακαλεί τίποτα. Όποιος έλαβε το αρχείο έχει ακόμη έγκυρο διαπιστευτήριο, γι’ αυτό ο εκδότης πρέπει να το ανακαλέσει ή να το αντικαταστήσει μέσω της δικής του διαδικασίας της υπηρεσίας. Η αφαίρεση ενός τοπικού αντιγράφου δεν αλλάζει τίποτα στην απέναντι πλευρά.

Αποθηκεύστε τα ενεργά προφίλ με προστατευμένη μέθοδο, και αφαιρέστε σκόπιμα τις παρωχημένες εισαγόμενες εγγραφές αντί να αφήνετε τρία αντίγραφα σε φάκελο λήψεων. Ένα προφίλ που δεν χρησιμοποιείτε πια είναι ακόμη διαπιστευτήριο μέχρι να ανακληθεί.

Η συνήθεια που αξίζει να χτίσετε είναι μικρή. Πριν φύγει οποιοδήποτε προφίλ από το μηχάνημα, ρωτήστε τι άλλο περιέχει εκτός από τη διεύθυνση, και απαντήστε διαβάζοντας το αρχείο αντί να το θυμάστε.