VPN-i silumiseks ei ole teil privaatvõtit vaja
Konfiguratsiooni eksport ei ole diagnostika. Olekutrükk näitab peer'e, kätlemisi ja versioone ega sisalda kunagi privaatvõtit, mis teie seadet identifitseerib.
Palve kõlab mõistlikult: saatke konfiguratsioon, et tugi näeks, mis on valesti. Nii satuvad privaatvõtmed piletisüsteemidesse ja vestluslogidesse. Konfiguratsioon on identiteet, mitte diagnostika, ja inimene, kes teie tunnelit silub, ei vaja peaaegu kunagi seda poolt, mis tõestab, kes te olete. Olekutrükk vastab samadele küsimustele ilma selle riskita.
Müüt on, et konfiguratsioon on ainus täielik vaade. See on kõige vähem turvaline täielik vaade.
Müüt: tugi vajab konfiguratsiooni
Tugi vajab veateadet, kliendi ja serveri versioone, lõpp-punkti, kätlemise olekut ja sündmuste järjekorda. Kõik see on olek. Konfiguratsioon lisab võtmeid ja võtmed on see, mis lubab kellelgi teisel olla teie. Konfiguratsiooni üleandmine marsruutimisprobleemi parandamiseks on nagu passi postitamine, et selgitada hilinenud lendu. Palve tuleb tavaliselt kelleltki, kes pole teie võrku kunagi näinud, ja küsib seda, mida on kõige lihtsam manustada.
Saatke väikseim väljund, mis küsimusele vastab, mitte suurim, mille leiate.
Mida olek tegelikult näitab
WireGuardi wg show trükib liidesed, peer'id, lubatud IP-d, lõpp-punktid, viimase kätlemise ja ülekandeloendurid ega trüki privaatvõtit. OpenVPN-i oleku- ja logiväljund annab ühenduse oleku ja vead ilma manustatud võtmeblokkideta. Mõlemast piisab, et näha, kas kätlemine lõpeb, kas loendurid liiguvad ja milline peer on kasutusel, mida wg käsiraamat dokumenteerib olekuvaatena.
Kui abistaja küsib konfiguratsiooni enne selle väljundi küsimist, küsige, mida konfiguratsioon näitaks, mida olek ei näita.
Kus saladused igas vormingus peituvad
WireGuardi konfiguratsioonifailid sisaldavad PrivateKey ridu ning avalikud peer-võtmed ja lõpp-punkti metaandmed identifitseerivad endiselt ka ilma nendeta. OpenVPN-i profiilid võivad manustada <key> ja <tls-crypt> blokke või osutada eraldi failidele, mis profiiliga kaasas reisivad. Kliendi toe arhiiv võib sisaldada palju enamat, kui logiaknas näha on, sealhulgas vahemällu salvestatud profiilid, mille olemasolu olete unustanud. Ekraanipildid on teine levinud leke, sest terminaliaknas näitab rohkem kui käsk, mida soovisite jagada.
Lugege ekspordi dokumentatsiooni, seejärel avage fail. Diagnostikana märgistatud väljund ei ole tingimata millestki puhastatud.
Redigeerige, seejärel saatke üle vaadatud koopia
Hoidke originaali kaitstud kohas ja saatke üle vaadatud koopia. Asendage lõpp-punktid ja avalikud võtmed stabiilsete kohatäitjatega, kui tegelikke väärtusi pole vaja, ja eemaldage privaatvõtmeblokid täielikult, mitte ärge varjake neid osaliselt. base64 bloki osaline varjamine on ikkagi lekkinud võti. Lugege faili veel kord enne, kui see lahkub, sest arhiivid kannavad sageli sama profiili teist koopiat.
Kasutage kinnitatud kanalit ja kontrollige, kes seda saab, enne kui midagi manustate.
Kui võti on juba lekkinud
Sõnumi kustutamine ei taasta koopiaid, mis teistel juba on. Pöörake identiteeti operaatori tühistamise ja asendamise protsessi kaudu ning käsitlege vana võtit kompromiteerituna hetkest, mil see saadeti. Enamik operaatoreid asendab kliendi identiteedi kiiresti, kui avalikustamisest on teatatud, ja just teavitamine on see osa, mida inimesed edasi lükkavad.
Sama reegel kehtib pileti sisse kleebitud võtme, ekraanipildi või vestluslõime kohta. Rotatsioon on lahendus; kustutamine on koristamine.