Sinu VPN-profiil sisaldab privaatvõtit, mitte ainult seadeid

Igaüks, kes kleepib VPN-profiili foorumilõime, lähtub samast uskumusest. Fail sisaldab ainult serveri aadressi ja paar valikut, seega tundub selle jagamine nagu telefoninumbri jagamine. Siis loeb keegi selle läbi ja leiab neljandalt realt krüpteerimata privaatvõtme.

Profiil ei ole dokumentatsioon tunnelist. See on tunneli identiteet, välja kirjutatud.

Failis olevatel objektidel ei ole sama salastatuse taset

Avalik CA-sertifikaat on mõeldud reisimiseks. Kliendi privaatvõti ei ole. Kui mõlemad esinevad samas failis, paneb kahjutu kogu manuse turvalisena näima. See ongi lõks.

OpenVPN teeb selle disaini tõttu hullemaks. See lubab sertifikaadid, võtmed ja autentimismaterjali otse faili manustada. See on juurutamiseks mugav ja jagamiseks hukatuslik. Fail, mis algab loetava sertifikaadiplokiga, jätkub privaatsesse poolde.

WireGuard on selles otsesem. Liidese jaotis kannab privaatvõtit ja iga peer võib peale selle kanda eelnevalt jagatud võtit. Pole mingit ebaselgust, millised read loevad. Peaaegu iga rida loeb.

Ekraanipilt on sama leke teises vormingus

Konfiguratsiooni QR-koodina kodeerimine ei muuda seda eelvaateks. Kood kannab samu baite ja iga telefonikaamera ruumis suudab selle dekodeerida. Sama kehtib kliendi konfiguratsiooniakna ekraanipildi kohta, kus võti on nurgas loetav.

Autentimisfailid ja viidatud võtmeteed kuuluvad samasse auditisse. Välisele failile osutav profiil ei ole automaatselt turvalisem, sest tee võib viia kuhugi, kuhu lugeja pääseb. Autentimisfailis olev token on sama kasutatav kui parool ja harva näeb see selline välja.

Saada veateade, mitte võti

Diagnoosiks on vaja veateadet, kliendi versiooni ja proovitud valikute nimesid. Võtit pole vaja. Kirjuta küsimus nende kolme asjaga ja asenda iga saladus ja iga mittevajalik võrguidentifikaator, enne kui fail sinu masinast lahkub.

OpenVPN-i käsiraamatu jaotis manustatud failide kohta on kasulik kaart, kus need objektid asuvad. See tuletab ka meelde, kui palju neid üks profiil mahutada võib.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Seejärel loe lõplikku manust, selle asemel et usaldada oma mälu redigeerimise kohta. Võtmed peituvad hilisemates plokkides, redigeerimata kommentaaris ja reas, mille sa otsustasid olevat struktuurne.

Pärast avalikustamist on rotatsioon ainus parandus

Postituse kustutamine ei tühista midagi. See, kes faili sai, omab endiselt töötavat mandaati, mistõttu väljaandja peab selle teenuse enda protsessi kaudu tühistama või asendama. Kohaliku koopia eemaldamine ei muuda kaugemas otsas midagi.

Hoiusta tööprofiile kaitstud meetodiga ja eemalda aegunud imporditud kirjed meelega, selle asemel et jätta allalaadimiste kausta kolm koopiat. Profiil, mida sa enam ei kasuta, on endiselt mandaat, kuni see tühistatakse.

Harjumus, mida tasub kujundada, on väike. Enne kui ükskõik milline profiil masinast lahkub, küsi, mis muu seal peale aadressi on, ja vasta faili lugedes, mitte seda meenutades.