O teu perfil de VPN leva unha chave privada, non só axustes

Todo o que pega un perfil de VPN nun fío de foro parte da mesma crenza. O ficheiro só contén un enderezo de servidor e unhas cantas opcións, así que compartilo sente como compartir un número de teléfono. Despois alguén o le e atopa unha chave privada sen cifrar na cuarta liña.

O perfil non é documentación sobre o túnel. É a identidade do túnel, escrita.

Os obxectos do ficheiro non comparten nivel de segredo

Un certificado CA público está feito para viaxar. Unha chave privada de cliente, non. Cando ambos aparecen no mesmo ficheiro, o inofensivo fai que todo o anexo pareza seguro. Ese é o engano.

OpenVPN empeórao por deseño. Permite incrustar certificados, chaves e material de autenticación directamente. Iso é cómodo para despregar e desastroso para compartir. O ficheiro que comeza cun bloque de certificado lexible continúa cara á metade privada.

WireGuard é máis directo. A sección de interface leva unha chave privada, e cada peer pode levar ademais unha chave precompartida. Non hai ambigüidade sobre que liñas importan. Case todas importan.

Unha captura de pantalla é a mesma fuga noutro formato

Codificar unha configuración como código QR non a converte nunha vista previa. O código leva os mesmos bytes, e calquera cámara de teléfono na sala pode descodificalo. O mesmo vale para unha captura da xanela de configuración dun cliente, onde a chave se le na esquina.

Os ficheiros de autenticación e as rutas de chave referenciadas pertencen á mesma auditoría. Un perfil que apunta a un ficheiro externo non é automaticamente máis seguro, porque a ruta pode resolverse nalgún lugar ao que un lector teña acceso. Un token nun ficheiro de autenticación é tan utilizábel como un contrasinal, e raramente o parece.

Envía o texto do erro, non a chave

O diagnóstico necesita o texto do erro, a versión do cliente e os nomes das opcións probadas. Non necesita a chave. Escribe a pregunta con esas tres cousas, e substitúe cada segredo e cada identificador de rede innecesario antes de que o ficheiro saia da túa máquina.

A sección do manual de OpenVPN sobre ficheiros incrustados é un mapa útil de onde están eses obxectos. Tamén recorda cantos pode conter un só perfil.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Despois le o anexo final en lugar de confiar na túa memoria da edición. As chaves escóndense en bloques posteriores, nun comentario sen redactar e nunha liña que decidiches que era estrutural.

Tras unha exposición, a rotación é a única reparación

Borrar a publicación non revoga nada. Quen recibiu o ficheiro aínda ten unha credencial válida, por iso o emisor debe revogala ou substituíla mediante o proceso propio do servizo. Eliminar unha copia local non cambia nada no extremo remoto.

Garda os perfís de traballo cun método protexido, e elimina a propósito as entradas importadas obsoletas en lugar de deixar tres copias nun cartafol de descargas. Un perfil que xa non usas segue sendo unha credencial ata que se revoga.

O hábito que paga a pena construír é pequeno. Antes de que calquera perfil saia da máquina, pregunta que máis hai nel ademais do enderezo, e responde lendo o ficheiro en lugar de recordalo.