פרופיל ה-VPN שלך מכיל מפתח פרטי, לא רק הגדרות

כל מי שמדביק פרופיל VPN בשרשור פורום מתחיל מאותה אמונה. הקובץ מכיל רק כתובת שרת וכמה אפשרויות, ולכן שיתופו מרגיש כמו שיתוף מספר טלפון. ואז מישהו קורא אותו ומוצא מפתח פרטי לא מוצפן בשורה הרביעית.

הפרופיל אינו תיעוד על המנהרה. הוא הזהות של המנהרה, כתובה במלואה.

האובייקטים בקובץ אינם חולקים אותה רמת סודיות

תעודת CA ציבורית נועדה לנסוע. מפתח פרטי של לקוח לא. כששניהם מופיעים באותו קובץ, הבלתי מזיק גורם לכל הקובץ המצורף להיראות בטוח. זו המלכודת.

OpenVPN מחמיר זאת מעצם התכנון. הוא מאפשר להטמיע תעודות, מפתחות וחומר אימות ישירות. זה נוח לפריסה והרסני לשיתוף. הקובץ שמתחיל בבלוק תעודה קריא ממשיך לחצי הפרטי.

WireGuard ישיר יותר. קטע הממשק נושא מפתח פרטי, וכל peer יכול לשאת מעליו גם מפתח משותף מראש. אין עמימות לגבי אילו שורות חשובות. כמעט כל שורה חשובה.

צילום מסך הוא אותה דליפה בפורמט אחר

קידוד תצורה כקוד QR אינו הופך אותה לתצוגה מקדימה. הקוד נושא את אותם בתים, וכל מצלמת טלפון בחדר יכולה לפענח אותו. כך גם בצילום מסך של חלון התצורה של לקוח, שבו המפתח קריא בפינה.

קובצי אימות ונתיבי מפתחות מוזכרים שייכים לאותו ביקורת. פרופיל שמצביע על קובץ חיצוני אינו בטוח יותר באופן אוטומטי, כי הנתיב עשוי להוביל למקום שאליו קורא יכול להגיע. אסימון בקובץ אימות שמיש כמו סיסמה, ולעיתים נדירות הוא נראה כך.

שלחו את טקסט השגיאה, לא את המפתח

האבחון זקוק לטקסט השגיאה, לגרסת הלקוח ולשמות האפשרויות שנוסו. הוא אינו זקוק למפתח. כתבו את השאלה עם שלושת הדברים האלה, והחליפו כל סוד וכל מזהה רשת מיותר לפני שהקובץ עוזב את המחשב שלכם.

קטע המדריך של OpenVPN על קבצים מוטמעים הוא מפה שימושית של היכן האובייקטים האלה. הוא גם תזכורת לכמה מהם פרופיל אחד יכול להכיל.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

לאחר מכן קראו את הקובץ המצורף הסופי במקום לסמוך על הזיכרון שלכם לגבי העריכה. מפתחות מתחבאים בבלוקים מאוחרים יותר, בהערה שלא הושחרה ובשורה שהחלטתם שהיא מבנית.

לאחר חשיפה, סבב הוא התיקון היחיד

מחיקת הפוסט אינה מבטלת דבר. מי שקיבל את הקובץ עדיין מחזיק באישור תקף, ולכן המנפיק חייב לבטל או להחליף אותו דרך התהליך של השירות עצמו. הסרת עותק מקומי אינה משנה דבר בצד המרוחק.

אחסנו פרופילים פעילים בשיטה מוגנת, והסירו פריטים מיובאים מיושנים בכוונה במקום להשאיר שלושה עותקים בתיקיית הורדות. פרופיל שאינכם משתמשים בו עוד הוא עדיין אישור עד לביטולו.

ההרגל ששווה לבנות קטן. לפני שפרופיל עוזב את המחשב, שאלו מה עוד יש בו מלבד הכתובת, וענו בקריאת הקובץ ולא בזיכרון שלו.