VPN gako publikoa parteka dezakezu? Egiaztatu hiru gauza hauek

VPN gako publikoa pare bati, hornitzaile bati edo foro bati eman diezaiokezu, eta tunelak eusten du. Gako pribatua, ordea, ezin duzu eman, ezta euskarri-taldeari ere, gako horrek frogatzen duen identitatea eman gabe. Erabakia gutxitan izaten da horren garbia, jendeak nahasten baitu parearen zein erdi ari den begiratzen, eta hedapen batzuek balio publikoa izen gisa tratatzen dutelako. Hiru egiaztapenek erabakitzen dute: zein erdi duzun, hedapenak zeri lotzen dion eta zenbat kostatzen den ordezkatzea.

Lehen egiaztapena: parearen zein erdi dago zure arbelean

Gako asimetrikoak binaka etortzen dira, eta eratorpenaren norabidea da kontu osoa. WireGuarden gako pribatua 32 byte ausazko dira eta gako publikoa haietatik kalkulatzen da; alderantziz ezin da joan. wg genkey balio pribatua idazten du, wg pubkey publikoa eratzen du, eta bigarrena soilik doa pare bati zuzendutako mezu batean.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Ziurtagirien munduak banaketa bera erabiltzen du, pieza mugikor gehiagorekin. Zerbitzari-ziurtagiri batek gako publikoa eta izenak daramatza, eta ziurtagiria betirako uzten ez duen ziurtagiri-agintaritzaren gako pribatuarekin sinatzen da. Zerbitzari hori egiaztatzen duen bezeroak agintaritzaren ziurtagiria behar du, publikoa dena, eta ez du inolako erabilerarik agintaritzaren sinadura-gako pribatuarentzat.

Ziur ez bazaude zein balio duzun, bilatu markatzailea fitxategi-izena baino. PEM bloke bat -----BEGIN PRIVATE KEY----- hasten dena, edo BEGIN RSA PRIVATE KEY forma zaharragoa, erdi sekretua da. Markatzaile hori gabe itsats dezakezun balioa partekatzeko hautagaia da, hurrengo bi egiaztapenen mende.

Bigarren egiaztapena: zeri lotzen dio hedapenak balio publiko hori

Segurtasun kriptografikoa eta anonimotasuna propietate desberdinak dira. WireGuard pare baten gako publikoa identifikatzaile egonkorra da hedapenaren barruan: zerbitzariaren konfigurazioak zerrendatzen du, eskua-emateak izendatzen du, eta erregistroak irakurtzen dituen administratzaileak kate bera ikusten du pare hori konektatzen den bakoitzean. Argitaratu gakoa zure ezarpenei buruzko galdera baten ondoan, eta kate hori argitalpeneko gainerako guztiarekin lotu duzu.

Ziurtagiriek identitatea isurtzen dute diseinuz. Subject eta subject alternative name eremuak irakurgarriak dira, eta konfiantza publikoko TLS ziurtagirietan ziurtagiria bera Certificate Transparency erregistroetan argitaratzen da, bilaketak egiteko modukoak. Horietako ezerk ez du gako pribatua erakusten, eta horrek guztiak harreman bat erakusten du.

Hemen desberdintzen dira hedapenak, eta horrek erabakitzen du erantzuna. Laborategiko zerbitzari bateko proba-pare aldi baterakoa objektu desberdina da enpresaren guneen arteko muturra identifikatzen duen gakotik, byteak berdinak diruditen arren.

Hirugarren egiaztapena: zer erreboka dezakezun, eta zein azkar

Hirugarren egiaztapenak erabat bereizten ditu bi erdiak. Argitaratu den gako publikoa zure egutegiaren arabera ordezka daiteke. Argitaratu den gako pribatua ezin da berreskuratu: zure kopia ezabatzeak ez die jada hartutako kopiei eragiten, eta harekin fidatzen zen pare bakoitzak kanpoko norbaiten esku dagoen zerbaitetan fidatzen da orain.

Errebokazioa konfigurazio-ekintza da, ez ekintza kriptografikoa. WireGuardek ez du errebokazio-zerrendarik ematen, beraz parea kentzen duzu:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN ziurtagirietan oinarritutako hedapenek ziurtagiria errebokatzen dute eta zerbitzariak benetan crl-verify bidez egiaztatzen duen CRL bat argitaratzen dute. Direktiba hori gabe errebokazio-zerrenda apaingarria da. Edozein modutan sekuentzia bera da: igorri ordezkoa, banatu onartutako kanalaren bidez, eta gero erretiratu identitate zaharra.

Hiru egiaztapenak batzeagatik sortzen diren akatsak

Benetako isurketarik gehienak ez dira gako pribatua argitaratzea erabakitzen duen pertsona bat. Foro batean itsatsitako profil oso bat dira: WireGuard .conf bat PrivateKey lerroarekin, edo .ovpn sorta bat gako-bloke barnekoa duena, edo bezero-leiho baten pantaila-argazkia, gako-eremua kasualitatez barne hartzen duena. Balio publikoa ziurrenik ondo zegoen; ondo ez zegoen zatiarekin bidaiatu zuen.

Euskarri-lanaren fluxuak bigarren iturria dira. Egiaztapen-urrats legitimo batek ere ez du zure gako pribatua behar, beste aldea erdi publikotik eratzen baitu behar duena. Inprimaki edo pertsona batek balio pribatua eskatzen duenean, erantzun zuzena balio publikoa da, gehi hura sortzen duen tokiko komandoa.

Erregistroak eta pantaila-argazkiak kategoria berekoak dira. Diagnostiko-irteerak gako-materiala, saio-identifikatzaileak eta barne-helbideak eraman ditzake, eta hori guztia argitaratzeak galdera bat erantzutearen truke erosotasun txiki bat esposizio handiagoagatik aldatzen du.

Balio pribatua isuri ondoren, erretiratu identitatea

Balio pribaturen bat atera bazen, tratatu identitate hori erretiratutzat. Sortu pare berri bat, instalatu erdi publikoa pareek espero duten tokian, kendu pare zaharra edo errebokatu ziurtagiri zaharra, eta egiaztatu argitaratu zenuen lekuak. Ezin dituzu kontrolatzen ez dituzun kopiak ezabatu, beraz kentzea etorkizunari buruzkoa da, ez iraganari buruzkoa.

Ondoren idatzi banaketa: zein gako dagokion zein gailuri, nork duen kopia bat, nola entregatzen den ordezkoa eta nork kentzen duen erretiratutako pare bat. Hori da jendeak ahazten dituen zatia, eta horrek erabakitzen du zenbat denboraz jarraitzen duen isurketa batek erabilgarri.