Jo VPN-profyl befettet in priveesleutel, net allinnich ynstellings

Elkenien dy’t in VPN-profyl yn in forumtried plakt, begjint fan itselde leauwen. It bestân befettet allinnich in serveradres en in pear opsjes, dat it diele fielt as it diele fan in telefoannûmer. Dan lêst immen it en fynt in net-fersifere priveesleutel op rigel fjouwer.

It profyl is gjin dokumintaasje oer de tunnel. It is de identiteit fan de tunnel, útskreaun.

De objekten yn it bestân diele net itselde geheimnivo

In iepenbier CA-sertifikaat is bedoeld om te reizgjen. In priveesleutel fan in klant net. As beide yn itselde bestân ferskine, lit it harmless it hiele taheaksel feilich lykje. Dat is de falstrik.

OpenVPN makket dit slimmer fan ûntwerp. It lit sertifikaten, sleutels en autentikaasjemateriaal direkt ynbêde. Dat is handich foar útrôljen en rampzalich foar diele. It bestân dat mei in lêsber sertifikaatblok begjint, giet troch yn de privee helte.

WireGuard is dêrta direkter. De ynterface-seksje draacht in priveesleutel, en elke peer kin boppedat in foarôf dielde sleutel drage. Der is gjin ûndúdlikheid oer hokker rigels der ta dogge. Hast elke rigel docht.

In skermôfdruk is deselde lek yn in oar formaat

It kodearjen fan in konfiguraasje as QR-koade makket it gjin foarbyld. De koade draacht deselde bytes, en elke tillefoankamera yn ’e keamer kin it dekodearje. Itselde jildt foar in skermôfdruk fan it konfiguraasjefinster fan in klant, dêr’t de sleutel yn ’e hoeke lêsber is.

Autentikaasjebestannen en ferwiisde sleutelpaden hearre by deselde audit. In profyl dat nei in ekstern bestân wiist, is net automatysk feiliger, om’t it paad earne útkomme kin dêr’t in lêzer by kin. In token yn in autentikaasjebestân is like brûkber as in wachtwurd, en it liket der selden op.

Stjoer de flatertekst, net de sleutel

De diagnoaze hat de flatertekst, de klantferzje en de nammen fan de besochte opsjes nedich. It hat de sleutel net nedich. Skriuw de fraach mei dy trije dingen, en ferfange elk geheim en elke ûnnadige netwurkidentifikaasje foardat it bestân jo masine ferlit.

De hânliedingseksje fan OpenVPN oer ynbêde bestannen is in nuttige kaart fan wêr’t dy objekten sitte. It is ek in herinnering oan hoefolle derfan ien profyl hâlde kin.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Lês dan it definitive taheaksel ynstee fan op jo ûnthâld fan de bewurking te fertrouwen. Sleutels ferskûlje har yn lettere blokken, yn in net-redigearre kommentaar en yn in rigel dy’t jo as struktureel besletten hawwe.

Nei bleatstelling is rotaasje de iennichste reparaasje

It fuortheljen fan it berjocht lûkt neat werom. Wa’t it bestân krigen hat, hat noch in wurkjende legitimaaasje, dêrom moat de útjouwer it weromlûke of ferfange fia it eigen proses fan de tsjinst. It fuortheljen fan in lokale kopy feroaret neat oan ’e oare kant.

Bewarje wurkjende profilen fia in beskerme metoade, en ferwiderje ferâldere ymporteare items mei opsetsin ynstee fan trije kopyen yn in downloads-map te litten. In profyl dat jo net mear brûke, is noch in legitimaaasje oant it weromlûkt wurdt.

De gewoante dy’t it wurdich is om op te bouwen, is lyts. Foardat in profyl de masine ferlit, freegje wat oars der yn sit njonken it adres, en antwirdzje troch it bestân te lêzen ynstee fan it te ûnthâlden.