Voitko jakaa VPN:n julkisen avaimen? Tarkista nämä kolme asiaa

Voit antaa VPN:n julkisen avaimesi vertaiselle, palveluntarjoajalle tai foorumille, ja tunneli pysyy pystyssä. Yksityistä avainta et voi luovuttaa, edes tukeen, luovuttamatta identiteettiä, jonka avain todistaa. Päätös harvoin pysyy näin selvänä, koska ihmiset sekoittavat, kumpaa parin puoliskoa he katsovat, ja koska jotkin käyttöönotot kohtelevat julkista arvoa nimenä. Kolme tarkistusta ratkaisee sen: kumpi puolisko sinulla on, mihin käyttöönotto sen sitoo ja mitä korvaaminen maksaa.

Tarkistus yksi: kumpi parin puolisko on leikepöydälläsi

Epäsymmetriset avaimet tulevat pareittain, ja johtamisen suunta on koko pointti. WireGuardissa yksityinen avain on 32 satunnaista tavua ja julkinen avain lasketaan siitä; toiseen suuntaan ei voi mennä. wg genkey kirjoittaa yksityisen arvon, wg pubkey johtaa julkisen, ja vain jälkimmäinen kuuluu vertaiselle lähetettävään viestiin.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Sertifikaattien maailma käyttää samaa jakoa useammilla liikkuvilla osilla. Palvelinsertifikaatti kantaa julkisen avaimen ja nimiä, ja sen allekirjoittaa varmentajan yksityinen avain, joka ei koskaan poistu varmentajalta. Asiakas, joka tarkistaa tuon palvelimen, tarvitsee varmentajan sertifikaatin, joka on julkinen, eikä sillä ole mitään käyttöä varmentajan yksityiselle allekirjoitusavaimelle.

Jos et ole varma, mitä arvoa pidät hallussasi, etsi merkki tiedostonimen sijaan. PEM-lohko, joka alkaa -----BEGIN PRIVATE KEY-----, tai vanhempi muoto BEGIN RSA PRIVATE KEY, on salainen puolisko. Arvo, jonka voit liittää ilman tuota merkkiä, on jakamisen ehdokas, edellyttäen kahta seuraavaa tarkistusta.

Tarkistus kaksi: mihin käyttöönotto sitoo tuon julkisen arvon

Kryptografinen turvallisuus ja anonymiteetti ovat eri ominaisuuksia. WireGuard-vertaisen julkinen avain on vakaa tunniste käyttöönoton sisällä: palvelimen kokoonpano luettelee sen, kättely nimeää sen ja lokeja lukeva ylläpitäjä näkee saman merkkijonon joka kerta, kun tuo vertainen yhdistää. Julkaise avain asetuksiasi koskevan kysymyksen viereen, ja olet kytkenyt tuon merkkijonon kaikkeen muuhun julkaisussa.

Sertifikaatit vuotavat identiteettiä suunnittelun vuoksi. Kentät Subject ja subject alternative name ovat luettavissa, ja julkisesti luotetuissa TLS-sertifikaateissa itse sertifikaatti julkaistaan Certificate Transparency -lokeissa, jotka ovat haettavissa. Mikään siitä ei paljasta yksityistä avainta, ja kaikki se paljastaa suhteen.

Tässä käyttöönotot eroavat, ja se ratkaisee vastauksen. Laboratoriopalvelimen kertakäyttöinen testivertainen on eri objekti kuin avain, joka tunnistaa yrityksen toimipisteiden välisen päätepisteen, vaikka tavut näyttäisivät samoilta.

Tarkistus kolme: mitä voit peruuttaa, ja kuinka nopeasti

Kolmas tarkistus erottaa puoliskot täysin. Julkaistu julkinen avain voidaan korvata aikataulusi mukaan. Julkaistua yksityistä avainta ei voi vetää takaisin: kopiosi poistaminen ei koske jo otettuja kopioita, ja jokainen vertainen, joka luotti siihen, luottaa nyt johonkin, jota ulkopuolinen pitää hallussaan.

Peruutus on kokoonpanotoimi, ei kryptografinen toimi. WireGuard ei toimita peruutusluetteloa, joten poistat vertaisen:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN sertifikaatteihin perustuvat käyttöönotot peruuttavat sertifikaatin ja julkaisevat CRL:n, jonka palvelin todella tarkistaa crl-verify kautta. Ilman tuota direktiiviä peruutusluettelo on pelkkää koristetta. Kummassakin tapauksessa järjestys on sama: myönnä korvaava, jaa se tuetun kanavan kautta ja poista sitten vanha identiteetti käytöstä.

Virheet, jotka syntyvät kolmen tarkistuksen yhdistämisestä

Useimmat todelliset vuodot eivät ole ihminen, joka päättää julkaista yksityisen avaimen. Ne ovat kokonainen profiili, joka on liitetty foorumille: WireGuard .conf tiedostossa rivi PrivateKey, tai paketti .ovpn jossa on upotettu avainlohko, tai kuvakaappaus asiakasikkunasta, johon avainkenttä sattuu mukaan. Julkinen arvo oli luultavasti kunnossa; se matkusti sen osan mukana, joka ei ollut.

Tukiprosessit ovat toinen lähde. Mikään laillinen tarkistusvaihe ei tarvitse yksityistä avaintasi, koska toinen osapuoli johtaa tarvitsemansa julkisesta puoliskosta. Kun lomake tai henkilö pyytää yksityistä arvoa, oikea vastaus on julkinen arvo sekä paikallinen komento, joka tuottaa sen.

Lokit ja kuvakaappaukset kuuluvat samaan luokkaan. Diagnostiikkatuloste voi sisältää avainmateriaalia, istunnon tunnisteita ja sisäisiä osoitteita, ja kaiken sen julkaiseminen yhden vastauksen saamiseksi vaihtaa pienen mukavuuden suurempaan altistukseen.

Kun yksityinen arvo vuotaa, poista identiteetti käytöstä

Jos yksityinen arvo pääsi ulos, käsittele tuo identiteetti käytöstä poistettuna. Luo uusi pari, asenna julkinen puolisko sinne, missä vertaiset sitä odottavat, poista vanha vertainen tai peruuta vanha sertifikaatti ja tarkista paikat, joissa julkaisit sen. Et voi poistaa kopioita, joita et hallitse, joten poistaminen koskee tulevaisuutta, ei menneisyyttä.

Kirjoita sitten jakelu muistiin: mikä avain kuuluu mille laitteelle, kuka pitää kopiota, miten korvaava toimitetaan ja kuka poistaa käytöstä poistetun vertaisen. Ne ovat osia, jotka ihmiset unohtavat, ja ne ratkaisevat, kuinka kauan vuoto pysyy hyödyllisenä.