Vi ne bezonas la privatan ŝlosilon por sencimigi VPN-on
Konfiguraci-eksporto ne estas diagnozo. Statusa eligo montras kunulojn, manpremojn kaj versiojn, kaj neniam enhavas la privatan ŝlosilon, kiu identigas vian aparaton.
La peto sonas racie: sendu la konfiguraĵon, por ke la subteno vidu, kio maltrafas. Ĝuste tiel privataj ŝlosiloj finiĝas en biletsistemoj kaj babilaj protokoloj. Konfiguraĵo estas identeco, ne diagnozo, kaj la persono, kiu sencimigas vian tunelon, preskaŭ neniam bezonas tiun duonon, kiu pruvas, kiun vi estas. Statusa eligo respondas la samajn demandojn sen tiu risko.
La mito estas, ke konfiguraĵo estas la sola kompleta bildo. Ĝi estas la malplej sekura kompleta bildo.
La mito: la subteno bezonas la konfiguraĵon
La subteno bezonas la erartekston, la versiojn de kliento kaj servilo, la finpunkton, la staton de la manpremo kaj la ordon de la eventoj. Ĉio ĉi estas statuso. Konfiguraĵo aldonas ŝlosilojn, kaj ŝlosiloj estas tio, kio ebligas al iu alia esti vi. Transdoni konfiguraĵon por ripari enkursigan problemon estas kiel poŝti vian pasporton por klarigi malfruan flugon. La peto kutime venas de iu, kiu neniam vidis vian reton, kaj petas tion, kion plej facile estas aldonaĵi.
Sendu la plej malgrandan eligon, kiu respondas la demandon, ne la plej grandan, kiun vi povas trovi.
Kion fakte montras la statuso
La wg show de WireGuard presas interfacojn, kunulojn, permesitajn IP-adresojn, finpunktojn, la lastan manpremon kaj transigajn nombrilojn, kaj ĝi ne presas la privatan ŝlosilon. La statusa kaj protokola eligo de OpenVPN donas konektan staton kaj erarojn sen la enmetitaj ŝlosilaj blokoj. Ambaŭ sufiĉas por vidi, ĉu manpremo kompletiĝas, ĉu nombriloj moviĝas kaj kiu kunulo estas uzata, kion la manlibro de wg dokumentas kiel la statusan vidon.
Se helpanto petas konfiguraĵon antaŭ ol peti tiun eligon, demandu, kion la konfiguraĵo montrus, kion la statuso ne montras.
Kie sekretoj kaŝiĝas en ĉiu formato
WireGuard-konfiguraj dosieroj enhavas liniojn PrivateKey, kaj publikaj kunulaj ŝlosiloj plus finpunkta metadatenoj ankoraŭ identigas eĉ sen ili. OpenVPN-profiloj povas enmeti blokojn <key> kaj <tls-crypt> aŭ montri al apartaj dosieroj, kiuj vojaĝas kun la profilo. La subtena arkivo de kliento povas enhavi multe pli ol montras la protokola fenestro, inkluzive de kaŝmemoraj profiloj, pri kies ekzisto vi forgesis. Ekrankopioj estas la alia ofta liko, ĉar terminala fenestro montras pli ol la komandon, kiun vi intencis kunhavigi.
Legu la eksportan dokumentaron, poste malfermu la dosieron. Eligo etikedita kiel diagnozo ne nepre estas senigita de io ajn.
Redaktu, poste sendu reviziitan kopion
Konservu la originalon en protektita loko kaj sendu reviziitan kopion. Anstataŭigu finpunktojn kaj publikajn ŝlosilojn per stabilaj anstataŭiloj, kiam la veraj valoroj ne necesas, kaj forigu blokojn de privata ŝlosilo tute anstataŭ parte mallumigi ilin. Parta kovro de base64-bloko estas ankoraŭ likita ŝlosilo. Legu la dosieron ankoraŭfoje antaŭ ol ĝi foriros, ĉar arkivoj ofte portas duan kopion de la sama profilo.
Uzu kontrolitan kanalon, kaj kontrolu, kiu ricevas ĝin antaŭ ol aldoni ion.
Se ŝlosilo jam likis
Forigi la mesaĝon ne rekuperas la kopiojn, kiujn aliaj jam havas. Rotaciu la identecon per la revokada kaj anstataŭa procezo de la funkciigisto, kaj traktu la malnovan ŝlosilon kiel kompromititan de la momento, kiam ĝi estis sendita. Plej multaj funkciigistoj rapide anstataŭigos klientan identecon post kiam la elmontro estos raportita, kaj la raporto estas la parto, kiun homoj prokrastas.
La sama regulo validas por ŝlosilo algluita en bileton, ekrankopion aŭ babilan fadenon. Rotacio estas la solvo; forigo estas hejma laboro.