Kas VPN-i avalikku võtit võib jagada? Kontrolli neid kolme asja

Võid anda oma VPN-i avaliku võtme partnerile, pakkujale või foorumile ja tunnel peab ikka. Privaatset võtit ei saa sa üle anda, isegi mitte tugiteenusele, ilma et annaksid üle identiteedi, mida see võti tõestab. Otsus jääb harva nii puhtaks, sest inimesed ajavad segi, millist paari poolt nad vaatavad, ja sest mõned juurutused kohtlevad avalikku väärtust nimena. Kolm kontrolli otsustavad: milline pool sul on, millega juurutus selle seob ja kui palju asendus maksab.

Esimene kontroll: milline paari pool on sinu lõikelaual

Asümmeetrilised võtmed tulevad paarikaupa, ja tuletamise suund on kogu mõte. WireGuardis on privaatne võti 32 juhuslikku baiti ja avalik võti arvutatakse sellest; vastupidi minna ei saa. wg genkey kirjutab privaatse väärtuse, wg pubkey tuletab avaliku, ja partnerile saadetavasse sõnumisse kuulub ainult teine.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Sertifikaatide maailm kasutab sama jaotust rohkemate liikuvate osadega. Serveri sertifikaat kannab avalikku võtit ja nimesid ning selle allkirjastab sertifitseerimisasutuse privaatne võti, mis ei lahku asutusest kunagi. Klient, kes seda serverit kontrollib, vajab asutuse sertifikaati, mis on avalik, ja asutuse privaatset allkirjavõtit tal üldse vaja ei lähe.

Kui sa pole kindel, millist väärtust hoiad, otsi markerit, mitte failinime. PEM-plokk, mis algab -----BEGIN PRIVATE KEY-----, või vanem vorm BEGIN RSA PRIVATE KEY, on salajane pool. Väärtus, mille saab kleepida ilma selle markerita, on jagamise kandidaat, eeldusel et järgnevad kaks kontrolli on tehtud.

Teine kontroll: millega juurutus selle avaliku väärtuse seob

Krüptograafiline turvalisus ja anonüümsus on erinevad omadused. WireGuardi partneri avalik võti on juurutuse sees püsiv identifikaator: serveri konfiguratsioon loetleb selle, käepigistus nimetab selle ja logisid lugev administraator näeb sama stringi iga kord, kui see partner ühendub. Postita võti oma seadistust puudutava küsimuse kõrvale ja oled selle stringi sidunud kõige muuga postituses.

Sertifikaadid lekitavad identiteeti juba disaini järgi. Väljad Subject ja subject alternative name on loetavad ning avalikult usaldusväärsete TLS-sertifikaatide puhul avaldatakse sertifikaat ise Certificate Transparency logides, mida saab otsida. Miski sellest ei paljasta privaatset võtit ja kõik see paljastab seose.

Siin juurutused erinevadki ja see otsustab vastuse. Ühekordne testpartner laboriserveris on teine objekt kui võti, mis identifitseerib ettevõtte saidiülese lõpp-punkti, isegi kui baidid näevad identsed välja.

Kolmas kontroll: mida saad tühistada ja kui kiiresti

Kolmas kontroll eraldab kaks poolt täielikult. Avaldatud avaliku võtme saab sinu ajakava järgi välja vahetada. Avaldatud privaatset võtit tagasi võtta ei saa: sinu koopia kustutamine ei puuduta juba tehtud koopiaid ja iga partner, kes seda usaldas, usaldab nüüd midagi, mida hoiab kõrvaline inimene.

Tühistamine on konfiguratsiooni toiming, mitte krüptograafiline toiming. WireGuard ei paku tühistusnimekirja, seega partneri eemaldad:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN sertifikaatidel põhinevad juurutused tühistavad sertifikaadi ja avaldavad CRL-i, mida server tõesti kontrollib crl-verify kaudu. Ilma selle direktiivita on tühistusnimekiri vaid kaunistus. Igal juhul on järjekord sama: väljasta asendus, jaota see toetatud kanali kaudu ja seejärel võta vana identiteet kasutusest välja.

Vead, mis tulevad kolme kontrolli kokku sulatamisest

Enamik tõelisi lekkeid ei ole inimene, kes otsustab avaldada privaatse võtme. See on terve profiil, mis on foorumisse kleebitud: WireGuard .conf reaga PrivateKey, või pakett .ovpn sisseehitatud võtmeblokiga, või klientakna ekraanipilt, kuhu satub kogemata võtmeväli. Avalik väärtus oli ilmselt korras; see reisis koos osaga, mis ei olnud.

Tugiprotsessid on teine allikas. Ükski seaduslik kontrollisamm ei vaja sinu privaatset võtit, sest teine pool tuletab vajaliku avalikust poolest. Kui vorm või inimene küsib privaatset väärtust, on õige vastus avalik väärtus pluss kohalik käsk, mis selle loob.

Logid ja ekraanipildid kuuluvad samasse kategooriasse. Diagnostika väljund võib kanda võtmematerjali, sessiooniidentifikaatoreid ja sisemisi aadresse ning kõige selle postitamine ühe vastuse saamiseks vahetab väikese mugavuse suurema avatuse vastu.

Kui privaatne väärtus lekib, võta identiteet kasutusest välja

Kui privaatne väärtus siiski välja läks, käsitle seda identiteeti kasutusest väljavõetuna. Loo uus paar, paigalda avalik pool sinna, kus partnerid seda ootavad, eemalda vana partner või tühista vana sertifikaat ja kontrolli kohti, kus sa selle avaldasid. Sa ei saa kustutada koopiaid, mida sa ei kontrolli, seega eemaldamine puudutab tulevikku, mitte minevikku.

Seejärel kirjuta jaotus üles: milline võti kuulub millisele seadmele, kes hoiab koopiat, kuidas asendus kohale jõuab ja kes eemaldab kasutusest väljavõetud partneri. Need on osad, mille inimesed unustavad, ja need otsustavad, kui kaua leke kasulikuks jääb.