Via VPN-profilo portas privatan ŝlosilon, ne nur agordojn

Ĉiu, kiu algluas VPN-profilon en forumfadenon, ekiras de la sama kredo. La dosiero enhavas nur servilan adreson kaj kelkajn opciojn, do ĝia divido sentiĝas kiel divido de telefonnombro. Poste iu legas ĝin kaj trovas neĉifritan privatan ŝlosilon en la kvara linio.

La profilo ne estas dokumentaro pri la tunelo. Ĝi estas la identeco de la tunelo, skribita.

La objektoj en la dosiero ne havas la saman sekrecnivelon

Publika CA-atestilo estas destinita vojaĝi. Privata klienta ŝlosilo ne. Kiam ambaŭ aperas en la sama dosiero, la senmalutila igas la tutan aldonaĵon aspekti sekura. Tio estas la kaptilo.

OpenVPN plimalbonigas tion pro sia dezajno. Ĝi permesas atestilojn, ŝlosilojn kaj aŭtentikigan materialon esti enkonstruitaj rekte. Tio estas oportuna por disfaldi kaj katastrofa por dividi. La dosiero, kiu komenciĝas per legebla atestila bloko, daŭras en la privatan duonon.

WireGuard estas pli senpera. La interfaca sekcio portas privatan ŝlosilon, kaj ĉiu peer povas porti ankaŭ antaŭe dividitan ŝlosilon. Ne estas malklareco pri tio, kiuj linioj gravas. Preskaŭ ĉiu linio gravas.

Ekrankopio estas la sama liko en alia formato

Kodigi agordon kiel QR-kodon ne faras ĝin antaŭrigardo. La kodo portas la samajn bitokojn, kaj ajna telefona fotilo en la ĉambro povas malĉifri ĝin. La samo validas por ekrankopio de la agorda fenestro de kliento, kie la ŝlosilo estas legebla en la angulo.

Aŭtentikigaj dosieroj kaj referencitaj ŝlosilaj vojoj apartenas al la sama revizio. Profilo, kiu montras al ekstera dosiero, ne estas aŭtomate pli sekura, ĉar la vojo povas konduki ie, kien leganto povas atingi. Ĵetono en aŭtentikiga dosiero estas same uzebla kiel pasvorto, kaj ĝi malofte aspektas tiel.

Sendu la erartekston, ne la ŝlosilon

La diagnozo bezonas la erartekston, la klientan version kaj la nomojn de la provitaj opcioj. Ĝi ne bezonas la ŝlosilon. Skribu la demandon kun tiuj tri aferoj, kaj anstataŭigu ĉiun sekreton kaj ĉiun nenecesan retan identigilon antaŭ ol la dosiero forlasos vian maŝinon.

La manlibra sekcio de OpenVPN pri enkonstruitaj dosieroj estas utila mapo de tio, kie tiuj objektoj troviĝas. Ĝi ankaŭ memorigas, kiom da ili unu profilo povas enhavi.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Poste legu la finan aldonaĵon anstataŭ fidi vian memoron pri la redakto. Ŝlosiloj kaŝiĝas en postaj blokoj, en neredaktita komento kaj en linio, kiun vi decidis esti struktura.

Post malkaŝo, rotacio estas la sola riparo

Forigi la afiŝon revokas nenion. Kiu ricevis la dosieron, ankoraŭ havas validan akreditilon, tial la eldonanto devas revoki aŭ anstataŭigi ĝin per la propra procezo de la servo. Forigi lokan kopion ŝanĝas nenion ĉe la fora fino.

Konservu laborajn profilojn per protektita metodo, kaj forigu eksdatajn importitajn erojn intence anstataŭ lasi tri kopiojn en elŝuta dosierujo. Profilo, kiun vi ne plu uzas, ankoraŭ estas akreditilo ĝis ĝi estos revokita.

La kutimo, kiun indas konstrui, estas malgranda. Antaŭ ol iu profilo forlasos la maŝinon, demandu, kio alia estas en ĝi krom la adreso, kaj respondu legante la dosieron anstataŭ memori ĝin.