Tu perfil de VPN lleva una clave privada, no solo ajustes

Todo el que pega un perfil de VPN en un hilo de foro parte de la misma creencia. El archivo solo contiene una dirección de servidor y unas cuantas opciones, así que compartirlo se siente como compartir un número de teléfono. Luego alguien lo lee y encuentra una clave privada sin cifrar en la cuarta línea.

El perfil no es documentación sobre el túnel. Es la identidad del túnel, escrita.

Los objetos del archivo no comparten nivel de secreto

Un certificado CA público está hecho para viajar. Una clave privada de cliente, no. Cuando ambos aparecen en el mismo archivo, el inofensivo hace que todo el adjunto parezca seguro. Esa es la trampa.

OpenVPN lo empeora por diseño. Permite incrustar certificados, claves y material de autenticación directamente. Eso es cómodo para desplegar y desastroso para compartir. El archivo que empieza con un bloque de certificado legible continúa hacia la mitad privada.

WireGuard es más directo. La sección de interfaz lleva una clave privada, y cada peer puede llevar además una clave precompartida. No hay ambigüedad sobre qué líneas importan. Casi todas importan.

Una captura de pantalla es la misma filtración en otro formato

Codificar una configuración como código QR no la convierte en una vista previa. El código lleva los mismos bytes, y cualquier cámara de teléfono en la sala puede descodificarlo. Lo mismo vale para una captura de la ventana de configuración de un cliente, donde la clave se lee en la esquina.

Los archivos de autenticación y las rutas de clave referenciadas pertenecen a la misma auditoría. Un perfil que apunta a un archivo externo no es automáticamente más seguro, porque la ruta puede resolverse en algún lugar al que un lector tenga acceso. Un token en un archivo de autenticación es tan utilizable como una contraseña, y rara vez lo parece.

Envía el texto del error, no la clave

El diagnóstico necesita el texto del error, la versión del cliente y los nombres de las opciones probadas. No necesita la clave. Escribe la pregunta con esas tres cosas, y sustituye cada secreto y cada identificador de red innecesario antes de que el archivo salga de tu máquina.

La sección del manual de OpenVPN sobre archivos incrustados es un mapa útil de dónde están esos objetos. También recuerda cuántos puede contener un solo perfil.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Después lee el adjunto final en lugar de confiar en tu memoria de la edición. Las claves se esconden en bloques posteriores, en un comentario sin censurar y en una línea que decidiste que era estructural.

Tras una exposición, la rotación es la única reparación

Borrar la publicación no revoca nada. Quien recibió el archivo aún tiene una credencial válida, por eso el emisor debe revocarla o reemplazarla mediante el proceso propio del servicio. Eliminar una copia local no cambia nada en el extremo remoto.

Guarda los perfiles de trabajo con un método protegido, y elimina a propósito las entradas importadas obsoletas en lugar de dejar tres copias en una carpeta de descargas. Un perfil que ya no usas sigue siendo una credencial hasta que se revoca.

El hábito que merece la pena construir es pequeño. Antes de que cualquier perfil salga de la máquina, pregunta qué más hay en él además de la dirección, y responde leyendo el archivo en lugar de recordarlo.