Et tarvitse yksityistä avainta VPN:n vianmääritykseen

Pyyntö kuulostaa järkevältä: lähetä kokoonpano, jotta tuki näkee mikä on vialla. Näin yksityiset avaimet myös päätyvät tikettijärjestelmiin ja keskustelulokeihin. Kokoonpano on identiteetti, ei diagnostiikka, ja henkilö, joka selvittää tunnelisi vikaa, ei lähes koskaan tarvitse sitä puolta, joka todistaa kuka olet. Tilatuloste vastaa samoihin kysymyksiin ilman tätä riskiä.

Myytti on, että kokoonpano on ainoa täydellinen näkymä. Se on vähiten turvallinen täydellinen näkymä.

Myytti: tuki tarvitsee kokoonpanon

Tuki tarvitsee virhetekstin, asiakas- ja palvelinversiot, päätepisteen, kättelyn tilan ja tapahtumien järjestyksen. Kaikki tämä on tilaa. Kokoonpano lisää avaimia, ja avaimet ovat se, mikä antaa jonkun toisen olla sinä. Kokoonpanon luovuttaminen reititysongelman korjaamiseksi on kuin passin postittaminen myöhästyneen lennon selittämiseksi. Pyyntö tulee yleensä joltakulta, joka ei ole koskaan nähnyt verkkoasi, ja pyytää sitä, mikä on helpoin liittää mukaan.

Lähetä pienin tuloste, joka vastaa kysymykseen, älä suurinta mitä löydät.

Mitä tila todella näyttää

WireGuardin wg show tulostaa liittymät, vertaiset, sallitut IP-osoitteet, päätepisteet, viimeisimmän kättelyn ja siirtolaskurit, eikä tulosta yksityistä avainta. OpenVPN:n tila- ja lokituloste antaa yhteyden tilan ja virheet ilman upotettuja avainlohkoja. Molemmat riittävät siihen, että näkee täydentyykö kättely, liikkuvatko laskurit ja mitä vertaista käytetään, minkä wg-käsikirja dokumentoi tilanäkymänä.

Jos avustaja pyytää kokoonpanoa ennen kuin pyytää tuon tulosteen, kysy mitä kokoonpano näyttäisi, mitä tila ei näytä.

Mihin salaisuudet kätkeytyvät kussakin muodossa

WireGuardin kokoonpanotiedostot sisältävät PrivateKey-rivejä, ja julkiset vertaisavaimet sekä päätepisteen metatiedot tunnistavat silti ilman niitä. OpenVPN-profiilit voivat upottaa <key>- ja <tls-crypt>-lohkoja tai osoittaa erillisiin tiedostoihin, jotka kulkevat profiilin mukana. Asiakkaan tukipaketti voi sisältää paljon enemmän kuin loki-ikkuna näyttää, mukaan lukien välimuistiin tallennettuja profiileja, joiden olemassaolon olet unohtanut. Kuvakaappaukset ovat toinen yleinen vuototapa, koska pääteikkuna näyttää enemmän kuin komento, jonka halusit jakaa.

Lue viennin dokumentaatio ja avaa sitten tiedosto. Diagnostiikaksi merkittyä tulostetta ei välttämättä ole puhdistettu mistään.

Peitä arkaluontoiset ja lähetä sitten tarkistettu kopio

Pidä alkuperäistä suojatussa paikassa ja lähetä tarkistettu kopio. Korvaa päätepisteet ja julkiset avaimet pysyvillä paikkamerkeillä, kun todellisia arvoja ei tarvita, ja poista yksityisen avaimen lohkot kokonaan sen sijaan että peittäisit ne osittain. base64-lohkon osittainen peittäminen on edelleen vuotanut avain. Lue tiedosto vielä kerran ennen kuin se lähtee, koska arkistot kantavat usein saman profiilin toisen kopion.

Käytä vahvistettua kanavaa ja tarkista kuka sen vastaanottaa ennen kuin liität mitään.

Jos avain on jo vuotanut

Viestin poistaminen ei palauta kopioita, jotka muilla jo on. Kierrätä identiteetti operaattorin peruutus- ja korvausprosessin kautta ja kohtele vanhaa avainta vaarantuneena siitä hetkestä, kun se lähetettiin. Useimmat operaattorit korvaavat asiakkaan identiteetin nopeasti, kun altistuminen on raportoitu, ja juuri raportointi on se osa, jota ihmiset lykkäävät.

Sama sääntö koskee avainta, joka on liitetty tikettiin, kuvakaappaukseen tai keskusteluketjuun. Kierrätys on ratkaisu; poistaminen on siivousta.