שלחו חבילת VPN לנמען הנכון, לא רק מפתח
הצפנת חבילה למפתח לא מאומת מגנה עליה עד לבעלים הלא נכון. אמתו את טביעת האצבע ומסרו רק את החומר שהמכשיר צריך.
שותף שולח מפתח ציבורי ומבקש חבילה מוצפנת. ההצפנה תעבוד, והיא עלולה למסור אישור מוגן לחלוטין למי שלא אמור לקבל אותו. סודיות וזהות הנמען הן שתי שאלות שונות שנענות במנגנונים שונים. ענו על שתיהן לפני שהחבילה יוצאת מהמחשב שלכם.
שתי שאלות שונות: סודיות ונמען
הצפנה עונה מי יכול לקרוא את הקובץ, בהנחה שהמפתח שייך לאדם המיועד. חתימה עונה מי הפיק אותו, ואינה אומרת דבר על סודיות, כי קובץ חתום יכול להישאר קריא. טביעת אצבע מזהה מפתח, ורק בדיקה בלתי תלויה קושרת את טביעת האצבע הזו לאדם או לתפקיד. התייחסות לאחד מאלה כאל האחר היא הכשל הרגיל במסירה שנראית זהירה.
לקובץ יש גם מחזור חיים: קישור שפג תוקפו מגביל שליפה מאוחרת, אך אינו מבטל אישור שכבר הורד.
אמתו את טביעת האצבע מחוץ לערוץ
השיגו את טביעת האצבע הצפויה מערוץ שאינו תלוי בהודעה שמבקשת מכם להצפין. לאחר מכן השוו אותה למה שמחזיק מחזיק המפתחות המקומי.
gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]שורות טביעת האצבע הן הערך להשוואה, והפקודה השנייה מציגה את אותן זהויות עם טביעות האצבע המלאות שלהן למבט שני. אשרו את המחרוזת השלמה באמצעות שיחה, מלאי חתום או רשומת הרשמה מנוהלת; שם תצוגה מוכר אינו מוכיח דבר. אם המפתח הגיע באותה הודעה שביקשה את המסירה, טביעת האצבע שלו אינה ראיה בלתי תלויה. ייבאו את המפתח רק לאחר הבדיקה הזו, והצפינו לטביעת האצבע המאומתת ולא לשם.
מסרו רק את החומר שהמכשיר צריך
ערכו מלאי של החבילה לפני בחירת אמצעי העברה. הגדרות שער ציבוריות ותעודת אמון ציבורית הן תצורה, מפתח פרטי של לקוח הוא סוד, ומפתח החתימה של מנפיק הוא נכס אחר לגמרי. במקום שמודל ההרשמה מאפשר זאת, החזיקו את המפתח הפרטי במכשיר ומסרו רק את מה שמשלים את ההרשמה. לקוח VPN אינו זקוק למפתח החתימה של ה-CA כדי לאמת שרת, משום ש מפתח חי משותף אחד בין שותפים הופך ביטול אישי לבלתי אפשרי.
חתמו גם על החפץ כאשר הנמען חייב לזהות החלפה, והשאירו את שתי הפעולות נפרדות בהוראות. החזיקו חבילה מרובת קבצים בארכיון אחד כדי שהנמען לא יוכל להתקין חצי תצורה ואז לדווח שהשער דוחה את הזהות.
סגרו את מחזור החיים לאחר המסירה
תעדו את הנמען, המכשיר, מהדורת התצורה ומסלול הביטול, אך לעולם לא את הערך הפרטי עצמו. אשרו שהאדם המיועד יכול להירשם וזהות אחרת נדחית. אם החבילה מגיעה לידיים לא נכונות, החליפו או בטלו את הסוד שהתקבל דרך המנפיק שלו, כי מחיקת קובץ מצורף אינה מבטלת דבר שכבר הורד. גם ארכיון מוגן בסיסמה שהסיסמה שלו עוברת באותה שיחה אינו בדיקה בלתי תלויה.
מסירה מסתיימת כשהזהות הנכונה פעילה במכשיר הנכון, לא כשהקובץ המוצפן מועלה בהצלחה.