Kinne jo in iepenbiere VPN-kaai diele? Kontrolearje dizze trije dingen

Jo kinne jo iepenbiere VPN-kaai oan in peer, in provider of in forum jaan en de tunnel hâldt noch. De private kaai kinne jo net oerlange, sels net oan de stipe, sûnder de identiteit oer te langjen dy’t dy kaai bewiist. De beslissing bliuwt selden sa skjin, omdat minsken betiizje hokker helte fan it pear se besjen, en omdat guon ymplemintaasjes de iepenbiere wearde as in namme behannelje. Trije kontrôles meitsje it dúdlik: hokker helte jo hawwe, wêr’t de ymplemintaasje it oan ferbynt, en wat ferfanging kostet.

Kontrôle ien: hokker helte fan it pear sit yn jo klamboerd

Asymmetryske kaaien komme yn pearen, en de rjochting fan de ôflieding is it hiele punt. Yn WireGuard is de private kaai 32 willekeurige bytes en de iepenbiere kaai wurdt dêrút berekkene; de oare kant kin net. wg genkey skriuwt de private wearde, wg pubkey liedt de iepenbiere ôf, en allinnich de twadde heart yn in berjocht oan in peer.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

De wrâld fan sertifikaten brûkt deselde splitsing mei mear beweeglike dielen. In server-sertifikaat draacht in iepenbiere kaai plus nammen, en it wurdt ûndertekene troch in private kaai fan in sertifikaasje-autoriteit dy’t de autoriteit nea ferlit. In klant dy’t dy server ferifiearret hat it sertifikaat fan de autoriteit nedich, dat iepenbier is, en hat gjin nut foar de private ûndertekeningskaai fan de autoriteit.

As jo net wis binne hokker wearde jo hawwe, sjoch dan nei de marker ynstee fan de bestânsnamme. In PEM-blok dat begjint mei -----BEGIN PRIVATE KEY-----, of de âldere foarm BEGIN RSA PRIVATE KEY, is de geheime helte. In wearde dy’t jo sûnder dy marker plakke kinne, is in kandidaat om te dielen, ûnder foarbehâld fan de folgjende twa kontrôles.

Kontrôle twa: wêr’t de ymplemintaasje dy iepenbiere wearde oan ferbynt

Kryptografyske feiligens en anonymiteit binne ferskillende eigenskippen. De iepenbiere kaai fan in WireGuard-peer is in stabile identifier binnen de ymplemintaasje: de serverkonfiguraasje listet him, de hânskutling neamt him, en in behearder dy’t logboeken lêst sjocht deselde tekenrige elke kear as dy peer ferbynt. Publisearje de kaai njonken in fraach oer jo opset, en jo hawwe dy tekenrige oan alles oars yn it berjocht ferbûn.

Sertifikaten lekke identiteit by ûntwerp. De fjilden Subject en subject alternative name binne lêsber, en foar iepenbier fertroude TLS-sertifikaten wurdt it sertifikaat sels publisearre yn Certificate Transparency-logboeken, dy’t trochsykber binne. Neat dêrfan leit in private kaai bleat, en alles dêrfan leit in relaasje bleat.

Hjir ferskille ymplemintaasjes, en dat beslút it antwurd. In weismiterige testpeer op in laboratoariumserver is in oar objekt as de kaai dy’t it site-to-site-einpunt fan in bedriuw identifisearret, ek al lykje de bytes identyk.

Kontrôle trije: wat jo yntrekke kinne, en hoe fluch

De tredde kontrôle skiedt de beide helten folslein. In iepenbiere kaai dy’t publisearre is, kin neffens jo skema ferfongen wurde. In private kaai dy’t publisearre is, kin net weromroppen wurde: jo kopy wiskje rekket kopyen dy’t al nommen binne net, en elke peer dy’t derop fertroude fertrout no op eat dat in bûtensteander hat.

Yntrekking is in konfiguraasje-aksje, gjin kryptografyske aksje. WireGuard leveret gjin yntreklijst, dus jo ferwiderje de peer:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN ymplemintaasjes op basis fan sertifikaten yntrekke it sertifikaat en publisearje in CRL dy’t de server wier troch crl-verify kontrolearret. Sûnder dy rjochtline is de yntreklijst fersiering. Hoe dan ek, de folchoarder is itselde: jou in ferfanging út, ferspried it fia it stipe kanaal, en set dan de âlde identiteit út.

De flaters dy’t komme fan it gearfoegjen fan de trije kontrôles

De measte echte lekken binne net in persoan dy’t beslút in private kaai te publisearjen. It is in hiel profyl dat yn in forum plakt is: in WireGuard .conf mei in PrivateKey-rigel, in .ovpn-bondel mei in ynbêde kaai-blok, of in skermprint fan in klantfinster dat tafallich it kaai-fjild befettet. De iepenbiere wearde wie wierskynlik goed; hy reizge mei it diel dat net goed wie.

Stipe-wurkflakken binne de twadde boarne. Gjin legitime ferifikaasjestap hat jo private kaai nedich, omdat de oare kant it nedige út de iepenbiere helte ôfliedt. As in formulier of in persoan om de private wearde freget, is it goede antwurd de iepenbiere plus it lokale kommando dat him produsearret.

Logboeken en skermprints hearre yn deselde kategory. Diagnostyske útfier kin kaaimateriaal, sesje-identifiers en ynterne adressen drage, en alles dêrfan publisearje om ien fraach beantwurde te krijen ruilet in lyts gemak foar in gruttere bleatstelling.

Nei’t in private wearde lekt is, set de identiteit út

As in private wearde dochs nei bûten kaam is, behannelje dy identiteit as út set. Meitsje in nij pear, ynstallearje de iepenbiere helte dêr’t peers it ferwachtsje, ferwiderje de âlde peer of yntrek it âlde sertifikaat, en kontrolearje de plakken dêr’t jo it publisearre hawwe. Jo kinne kopyen dy’t jo net kontrolearje net wiskje, dus it ferwiderjen giet oer de takomst, net oer it ferline.

Skriuw dan de ferdieling op: hokker kaai by hokker apparaat heart, wa’t in kopy hat, hoe’t in ferfanging levere wurdt, en wa’t in út sette peer ferwidert. Dat binne de dielen dy’t minsken ferjitte, en se bepale hoe lang’t in lek nuttich bliuwt.