אין צורך במפתח הפרטי כדי לנפות שגיאות ב-VPN
ייצוא תצורה אינו אבחון. פלט הסטטוס מציג עמיתים, לחיצות ידיים וגרסאות, ואינו כולל לעולם את המפתח הפרטי שמזהה את המכשיר שלך.
הבקשה נשמעת הגיונית: שלחו את התצורה כדי שהתמיכה תראה מה לא תקין. כך גם מפתחות פרטיים מגיעים למערכות פניות וליומני צ׳אט. תצורה היא זהות, לא אבחון, והאדם שמנפה שגיאות במנהרה שלך כמעט לעולם אינו זקוק לחצי שמוכיח מי אתה. פלט הסטטוס עונה על אותן שאלות בלי הסיכון הזה.
המיתוס הוא שתצורה היא התצוגה המלאה היחידה. היא התצוגה המלאה הכי פחות בטוחה.
המיתוס: התמיכה זקוקה לתצורה
התמיכה זקוקה לטקסט השגיאה, לגרסאות הלקוח והשרת, לנקודת הקצה, למצב לחיצת הידיים ולסדר האירועים. כל אלה הם סטטוס. תצורה מוסיפה מפתחות, ומפתחות הם מה שמאפשר למישהו אחר להיות אתה. מסירת תצורה כדי לתקן בעיית ניתוב דומה לשליחת הדרכון בדואר כדי להסביר טיסה שהתעכבה. הבקשה מגיעה בדרך כלל ממישהו שמעולם לא ראה את הרשת שלך ומבקש את הדבר שהכי קל לצרף.
שלחו את הפלט הקטן ביותר שעונה על השאלה, לא את הגדול ביותר שתמצאו.
מה באמת מציג פלט הסטטוס
הפקודה wg show של WireGuard מדפיסה ממשקים, עמיתים, כתובות IP מותרות, נקודות קצה, את לחיצת הידיים האחרונה ומוני העברה, והיא אינה מדפיסה את המפתח הפרטי. פלט הסטטוס והיומן של OpenVPN נותן מצב חיבור ושגיאות בלי בלוקי המפתח המוטמעים. שניהם מספיקים כדי לראות אם לחיצת ידיים מושלמת, אם המונים זזים ואיזה עמית בשימוש, וזה מה שתיעד מדריך wg כתצוגת סטטוס.
אם עוזר מבקש את התצורה לפני שהוא מבקש את הפלט הזה, שאלו מה התצורה הייתה מציגה שהסטטוס אינו מציג.
היכן סודות מתחבאים בכל פורמט
קובצי התצורה של WireGuard מכילים שורות PrivateKey, ומפתחות עמיתים ציבוריים עם מטא-נתוני נקודת הקצה עדיין מזהים גם בלעדיהם. פרופילי OpenVPN יכולים להטמיע בלוקים <key> ו-<tls-crypt> או להצביע על קבצים נפרדים שנוסעים עם הפרופיל. ארכיון התמיכה של לקוח יכול להכיל הרבה יותר ממה שחלון היומן מציג, כולל פרופילים שמורים במטמון ששכחת שקיימים. צילומי מסך הם הדליפה הנפוצה האחרת, מפני שחלון מסוף מציג יותר מהפקודה שרצית לשתף.
קראו את תיעוד הייצוא ואז פתחו את הקובץ. פלט שמוגדר כאבחון לאו דווקא נוקה ממשהו.
השחירו ואז שלחו עותק שנבדק
שמרו את המקור במקום מוגן ושלחו עותק שנבדק. החליפו נקודות קצה ומפתחות ציבוריים במצייני מקום יציבים כשאין צורך בערכים האמיתיים, והסירו בלוקים של מפתח פרטי לגמרי במקום להסתירם חלקית. הסתרה חלקית של בלוק base64 היא עדיין מפתח שדלף. קראו את הקובץ פעם נוספת לפני שהוא יוצא, מפני שארכיונים נושאים לעיתים קרובות עותק שני של אותו פרופיל.
השתמשו בערוץ מאומת, ובדקו מי מקבל אותו לפני שאתם מצרפים משהו.
אם מפתח כבר דלף
מחיקת ההודעה אינה משחזרת את העותקים שכבר יש לאחרים. סובבו את הזהות דרך תהליך הביטול וההחלפה של המפעיל, והתייחסו למפתח הישן כאל חשוף מרגע שנשלח. רוב המפעילים יחליפו זהות לקוח במהירות לאחר דיווח על החשיפה, והדיווח הוא החלק שאנשים דוחים.
אותו כלל חל על מפתח שהודבק בפנייה, בצילום מסך או בשרשור צ׳אט. סבב הוא הפתרון; מחיקה היא סדר בבית.