پروفایل VPN شما فقط تنظیمات نیست، یک کلید خصوصی هم دارد

هر کس پروفایل VPN را در رشته‌ای از انجمن می‌چسباند، از همان باور شروع می‌کند. فایل فقط یک آدرس سرور و چند گزینه دارد، بنابراین هم‌رسانی آن مثل هم‌رسانی یک شماره تلفن به نظر می‌رسد. سپس کسی آن را می‌خواند و در خط چهارم یک کلید خصوصی رمزگذاری‌نشده پیدا می‌کند.

پروفایل مستندات درباره تونل نیست. بلکه هویت تونل است، نوشته‌شده.

اشیای درون فایل سطح محرمانگی یکسانی ندارند

یک گواهی CA عمومی برای سفر ساخته شده است. کلید خصوصی کلاینت نه. وقتی هر دو در یک فایل ظاهر شوند، بی‌خطر باعث می‌شود کل پیوست امن به نظر برسد. دام همین است.

OpenVPN این را بر اساس طراحی بدتر می‌کند. اجازه می‌دهد گواهی‌ها، کلیدها و مواد احراز هویت مستقیماً در فایل جاسازی شوند. این برای استقرار راحت و برای هم‌رسانی فاجعه‌بار است. فایلی که با یک بلوک گواهی خوانا شروع می‌شود، تا نیمه خصوصی ادامه می‌یابد.

WireGuard در این باره صریح‌تر است. بخش رابط یک کلید خصوصی دارد، و هر peer می‌تواند کلید از پیش هم‌رسانی‌شده هم روی آن داشته باشد. هیچ ابهامی درباره اینکه کدام خطوط مهم‌اند وجود ندارد. تقریباً هر خط مهم است.

اسکرین‌شات همان نشت در قالبی دیگر است

کدگذاری یک پیکربندی به‌صورت QR کد آن را پیش‌نمایش نمی‌کند. کد همان بایت‌ها را حمل می‌کند، و هر دوربین تلفنی در اتاق می‌تواند رمزگشایی‌اش کند. همین برای اسکرین‌شات پنجره پیکربندی کلاینت هم صادق است، جایی که کلید در گوشه خواناست.

فایل‌های احراز هویت و مسیرهای کلید ارجاع‌شده بخشی از همان حسابرسی‌اند. پروفایلی که به یک فایل بیرونی اشاره می‌کند به‌طور خودکار امن‌تر نیست، چون مسیر ممکن است جایی باز شود که خواننده به آن دسترسی دارد. توکن در یک فایل احراز هویت به‌اندازه یک گذرواژه قابل استفاده است، و کم پیش می‌آید چنین به نظر برسد.

متن خطا را بفرستید، نه کلید را

تشخیص به متن خطا، نسخه کلاینت و نام گزینه‌هایی که امتحان شده نیاز دارد. به کلید نیاز ندارد. پرسش را با این سه چیز بنویسید، و پیش از آنکه فایل دستگاه شما را ترک کند، هر راز و هر شناسه شبکه غیرضروری را جایگزین کنید.

بخش راهنمای OpenVPN درباره فایل‌های جاسازی‌شده نقشه مفیدی از جای این اشیا است. همچنین یادآوری است که یک پروفایل چند تا از آن‌ها را می‌تواند داشته باشد.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

سپس پیوست نهایی را بخوانید، نه اینکه به حافظه‌تان از ویرایش اعتماد کنید. کلیدها در بلوک‌های بعدی، در یک نظر ویرایش‌نشده و در خطی که ساختاری تشخیص دادید پنهان می‌شوند.

پس از افشا، چرخش تنها راه تعمیر است

حذف پست چیزی را باطل نمی‌کند. کسی که فایل را دریافت کرده هنوز اعتبارنامه کارآمد دارد، به همین دلیل صادرکننده باید آن را از طریق فرایند خود سرویس باطل یا جایگزین کند. حذف یک نسخه محلی هیچ چیزی را در سمت دور تغییر نمی‌دهد.

پروفایل‌های کاری را با روشی حفاظت‌شده نگه دارید، و ورودی‌های واردشده قدیمی را عمداً حذف کنید نه اینکه سه نسخه در پوشه دانلودها رها کنید. پروفایلی که دیگر از آن استفاده نمی‌کنید تا باطل نشود هنوز یک اعتبارنامه است.

عادتی که ارزش ساختن دارد کوچک است. پیش از آنکه هر پروفایلی دستگاه را ترک کند، بپرسید جز آدرس چه چیز دیگری در آن هست، و با خواندن فایل پاسخ دهید نه با به‌یادآوردن آن.