No necesitas un archivo temporal para generar una clave OpenVPN

La generación de claves no necesita un archivo temporal, y prescindir de él arregla menos de lo que insinúan la mayoría de las guías. Lo que elimina es un ciclo de vida de archivo y la carrera de limpieza a su alrededor. Lo que deja intacto es cada oportunidad de filtrar el secreto después. El problema de corrección en estos scripts suele estar en otro sitio, porque el diagnóstico y el material de la clave viajan por flujos distintos.

El archivo nunca fue la exposición que pensabas

Un archivo temporal es un riesgo concreto cuando es legible por todos, cuando sobrevive a una caída o cuando se omite un paso de limpieza tras una excepción. Eso es real y merece arreglarse. También son locales, visibles y fáciles de probar. Nombra cada uno en tu propio script antes de concluir que el cambio era cosmético.

Los riesgos más silenciosos están aguas abajo: la clave impresa durante la depuración, la excepción que serializa todo el objeto de resultado, el gestor de fallos que escribe un volcado de memoria, el agregador de registros que recibe la ruta del archivo y luego el contenido. Evitar un archivo temporal no hace nada por ninguno de ellos, y creer lo contrario es como una reescritura bienintencionada deja el secreto más expuesto que antes. Trata el cambio como una mejora en una secuencia, no como la solución.

Qué escribe el cliente cuando no se da un nombre de archivo

Las versiones actuales del cliente envían la clave generada a la salida estándar cuando el comando de clave se da sin una ruta de salida. Ese comportamiento documentado es lo que hace viable el enfoque en memoria, y elimina la necesidad del truco más antiguo de apuntar la herramienta a una ruta de dispositivo.

import subprocess
proc = subprocess.run(
    ["openvpn", "--genkey", "tls-crypt"],
    stdout=subprocess.PIPE,
    stderr=subprocess.PIPE,
    check=True,
)
key_material = proc.stdout

Pasa el comando como una lista. Aquí no hace falta ninguna expansión del intérprete, y habilitar uno haría que el límite de los argumentos dependiera de comillas que no controlas. Usa el ejecutable previsto por ruta absoluta si el script puede ejecutarse con una ruta de búsqueda distinta de la que esperas.

La comprobación del código de retorno impide que la ruta de éxito continúe tras una invocación fallida. Sin ella, una cadena de bytes vacía puede fluir hacia delante y fallar solo mucho después, en el punto en que se usa la clave y el mensaje de error ya no menciona en absoluto la generación.

Dos flujos, dos significados

La salida estándar lleva la clave. El error estándar lleva todo lo que la herramienta quiere decirte, incluidas las advertencias sobre la configuración, la versión y el tipo de clave. Redirigir ambos a un solo búfer es el error que produce una clave de aspecto plausible con una frase cosida en medio.

Mantén también separada la ruta de fallo. Cuando la llamada falla, informa del comando que falló y del estado de salida, y luego decide a conciencia si alguna parte del error estándar es segura de mostrar. Volcar todo el objeto de resultado a un registro es el atajo habitual, y puede llevarse la clave consigo.

Una lectura segura para binarios importa si luego calculas el hash del material o lo comparas. El modo texto con una codificación inesperada puede alterar bytes que nunca debían ser texto, y una clave alterada es indistinguible de una equivocada hasta que falla un saludo.

Si aun así lo persistes, hazlo a conciencia

La mayoría de los despliegues acaban necesitando la clave en disco, en la pasarela o en un almacén de secretos. Escríbela una vez, con permisos restrictivos desde la creación en lugar de un chmod posterior, y haz que la escritura sea atómica para que un archivo parcial nunca sea el que un servicio lee al arrancar. Un renombrado desde una ruta en el mismo directorio suele bastar para eso. Elimina la ruta de preparación en la rama de fallo, porque la escritura fallida es exactamente la copia que la gente olvida.

Fija el modo del archivo cuando se crea, y mantén también restrictivo el modo del directorio. Evita cualquier ruta bajo una ubicación que un trabajo de copia de seguridad barre sin pensar, porque un secreto en una copia nocturna es un secreto en cada copia de esa copia. El mismo razonamiento se aplica a un volumen compartido que otros servicios pueden leer.

Una clave compartida no es una identidad

Generar este material no emite un certificado, no inscribe a un cliente y no establece quién se conecta. La clave compartida protege un canal entre partes que ya confían las unas en las otras; la identidad sigue viniendo del certificado y de cualquier autenticación que se siente delante de él.

Los tipos de clave tampoco son intercambiables. Una clave simétrica para una función no es un sustituto directo para otra, y las versiones más recientes añaden sus propias variantes con archivos distintos en cada extremo. Genera el tipo que tu configuración nombra de verdad, y luego úsalo en el papel que ese tipo define.

Prueba el resultado con una conexión real en vez de inspeccionar el tamaño del archivo. Si el saludo se completa y los registros no muestran advertencias de clave, la ruta de generación es correcta; si la clave se hubiera truncado por un flujo fusionado, la conexión fallaría de un modo que señala al par en lugar del script.