आपके VPN प्रोफ़ाइल में सिर्फ़ सेटिंग्स नहीं, एक निजी कुंजी भी है

जो भी कोई फ़ोरम थ्रेड में VPN प्रोफ़ाइल चिपकाता है, वह एक ही विश्वास से शुरू करता है। फ़ाइल में केवल एक सर्वर पता और कुछ विकल्प होते हैं, इसलिए उसे साझा करना फ़ोन नंबर साझा करने जैसा लगता है। फिर कोई उसे पढ़ता है और चौथी पंक्ति में एक बिना एन्क्रिप्ट की निजी कुंजी पाता है।

प्रोफ़ाइल सुरंग के बारे में दस्तावेज़ीकरण नहीं है। यह सुरंग की पहचान है, लिखी हुई।

फ़ाइल में मौजूद चीज़ों का गोपनीयता स्तर एक जैसा नहीं है

एक सार्वजनिक CA प्रमाणपत्र यात्रा करने के लिए बना है। क्लाइंट की निजी कुंजी नहीं। जब दोनों एक ही फ़ाइल में दिखते हैं, तो हानिरहित वाला पूरे अटैचमेंट को सुरक्षित दिखाता है। यही जाल है।

OpenVPN इसे डिज़ाइन से और बिगाड़ता है। यह प्रमाणपत्रों, कुंजियों और प्रमाणीकरण सामग्री को सीधे एम्बेड करने की अनुमति देता है। यह डिप्लॉय के लिए सुविधाजनक और साझा करने के लिए विनाशकारी है। जो फ़ाइल पढ़े जाने योग्य प्रमाणपत्र ब्लॉक से शुरू होती है, वह निजी आधे हिस्से तक चलती है।

WireGuard इस बारे में अधिक स्पष्ट है। इंटरफ़ेस अनुभाग एक निजी कुंजी रखता है, और हर पीयर ऊपर से एक पहले से साझा की गई कुंजी भी रख सकता है। कौन-सी पंक्तियाँ मायने रखती हैं, इस पर कोई अस्पष्टता नहीं है। लगभग हर पंक्ति मायने रखती है।

स्क्रीनशॉट वही लीक है, बस दूसरे फ़ॉर्मैट में

किसी कॉन्फ़िगरेशन को QR कोड के रूप में एन्कोड करना उसे पूर्वावलोकन नहीं बनाता। कोड वही बाइट्स रखता है, और कमरे में कोई भी फ़ोन कैमरा उसे डिकोड कर सकता है। यही बात क्लाइंट की कॉन्फ़िगरेशन विंडो के स्क्रीनशॉट पर भी लागू होती है, जहाँ कुंजी कोने में पढ़ी जा सकती है।

प्रमाणीकरण फ़ाइलें और संदर्भित कुंजी पथ उसी ऑडिट का हिस्सा हैं। बाहरी फ़ाइल की ओर इशारा करने वाला प्रोफ़ाइल अपने आप अधिक सुरक्षित नहीं होता, क्योंकि पथ कहीं ऐसी जगह पहुँच सकता है जहाँ पाठक की पहुँच हो। ऑथ फ़ाइल में टोकन पासवर्ड जितना ही उपयोगी होता है, और वह शायद ही पासवर्ड जैसा दिखता है।

कुंजी नहीं, त्रुटि का पाठ भेजें

निदान के लिए त्रुटि का पाठ, क्लाइंट का संस्करण और आज़माए गए विकल्पों के नाम चाहिए। कुंजी की ज़रूरत नहीं है। इन तीन चीज़ों के साथ प्रश्न लिखें, और फ़ाइल आपकी मशीन छोड़ने से पहले हर रहस्य और हर अनावश्यक नेटवर्क पहचानकर्ता को बदल दें।

OpenVPN का इनलाइन फ़ाइलों पर मैन्युअल अनुभाग एक उपयोगी नक्शा है कि वे चीज़ें कहाँ हैं। यह इस बात की याद भी दिलाता है कि एक प्रोफ़ाइल कितनी रख सकता है।

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

फिर अंतिम अटैचमेंट पढ़ें, संपादन के बारे में अपनी याद पर भरोसा करने के बजाय। कुंजियाँ बाद के ब्लॉकों में, बिना संपादित टिप्पणी में और उस पंक्ति में छिपती हैं जिसे आपने संरचनात्मक मान लिया था।

उजागर होने के बाद, रोटेशन ही एकमात्र मरम्मत है

पोस्ट हटाने से कुछ भी रद्द नहीं होता। जिसे फ़ाइल मिली है, उसके पास अब भी काम करने वाला क्रेडेंशियल है, इसलिए जारीकर्ता को उसे सेवा की अपनी प्रक्रिया से रद्द या बदलना होता है। स्थानीय प्रति हटाने से दूर वाले सिरे पर कुछ नहीं बदलता।

कार्यशील प्रोफ़ाइलों को सुरक्षित तरीके से संग्रहीत करें, और पुरानी आयातित प्रविष्टियों को डाउनलोड फ़ोल्डर में तीन प्रतियाँ छोड़ने के बजाय जानबूझकर हटा दें। जो प्रोफ़ाइल आप अब उपयोग नहीं करते, वह रद्द होने तक अब भी एक क्रेडेंशियल है।

जो आदत बनाने लायक है वह छोटी है। कोई भी प्रोफ़ाइल मशीन छोड़ने से पहले पूछें कि पते के अलावा उसमें और क्या है, और जवाब याद करके नहीं, फ़ाइल पढ़कर दें।