VPN-profiilisi sisältää yksityisen avaimen, ei vain asetuksia

Jokainen, joka liittää VPN-profiilin foorumiketjuun, lähtee samasta uskosta. Tiedosto sisältää vain palvelinosoitteen ja muutaman asetuksen, joten sen jakaminen tuntuu puhelinnumeron jakamiselta. Sitten joku lukee sen ja löytää salaamattoman yksityisen avaimen neljänneltä riviltä.

Profiili ei ole dokumentaatiota tunnelista. Se on tunnelin identiteetti kirjoitettuna auki.

Tiedoston kohteilla ei ole samaa salaisuustasoa

Julkinen CA-varmenne on tarkoitettu matkustamaan. Asiakkaan yksityinen avain ei ole. Kun molemmat esiintyvät samassa tiedostossa, vaaraton saa koko liitteen näyttämään turvalliselta. Se on ansa.

OpenVPN pahentaa tätä suunnittelullaan. Se sallii varmenteiden, avainten ja todennusmateriaalin upottamisen suoraan. Se on kätevää käyttöönotossa ja tuhoisaa jakamisessa. Tiedosto, joka alkaa luettavalla varmennelohkolla, jatkuu yksityiseen puoliskoon.

WireGuard on suorempi. Liitäntäosio kantaa yksityistä avainta, ja jokainen peer voi kantaa lisäksi ennalta jaettua avainta. Ei ole epäselvyyttä siitä, mitkä rivit ovat tärkeitä. Lähes jokainen rivi on.

Kuvakaappaus on sama vuoto toisessa muodossa

Konfiguraation koodaaminen QR-koodiksi ei tee siitä esikatselua. Koodi kantaa samat tavut, ja mikä tahansa huoneen puhelinkamera voi purkaa sen. Sama pätee asiakkaan asetusikkunan kuvakaappaukseen, jossa avain on luettavissa kulmassa.

Todennustiedostot ja viitatut avainpolut kuuluvat samaan auditointiin. Profiili, joka osoittaa ulkoiseen tiedostoon, ei ole automaattisesti turvallisempi, koska polku voi johtaa jonnekin, mihin lukija pääsee. Todennustiedoston tunniste on yhtä käyttökelpoinen kuin salasana, ja se näyttää harvoin sellaiselta.

Lähetä virheteksti, älä avainta

Diagnoosi tarvitsee virhetekstin, asiakasversion ja kokeiltujen asetusten nimet. Se ei tarvitse avainta. Kirjoita kysymys näiden kolmen kanssa ja korvaa jokainen salaisuus ja jokainen tarpeeton verkkotunniste ennen kuin tiedosto lähtee koneeltasi.

OpenVPN:n käsikirjan osio upotetuista tiedostoista on hyödyllinen kartta siitä, missä nämä kohteet ovat. Se muistuttaa myös, kuinka monta niitä yksi profiili voi sisältää.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Lue sitten lopullinen liite sen sijaan, että luottaisit muistiisi muokkauksesta. Avaimet piiloutuvat myöhempiin lohkoihin, peittämättömään kommenttiin ja riviin, jonka päätit olevan rakenteellinen.

Paljastumisen jälkeen rotaatio on ainoa korjaus

Julkaisun poistaminen ei peru mitään. Sen, joka sai tiedoston, hallussa on yhä toimiva tunnistetieto, siksi myöntäjän on peruutettava tai korvattava se palvelun omalla prosessilla. Paikallisen kopion poistaminen ei muuta mitään kaukopäässä.

Säilytä toimivat profiilit suojatulla menetelmällä ja poista vanhentuneet tuodut merkinnät tarkoituksella sen sijaan, että jättäisit kolme kopiota latauskansioon. Profiili, jota et enää käytä, on yhä tunnistetieto, kunnes se peruutetaan.

Tapa, joka kannattaa rakentaa, on pieni. Ennen kuin mikään profiili lähtee koneelta, kysy, mitä muuta siinä on osoitteen lisäksi, ja vastaa lukemalla tiedosto sen muistamisen sijaan.