Možete li podijeliti javni ključ VPN-a? Provjerite ove tri stvari

Javni ključ VPN-a možete predati drugom računalu, pružatelju usluge ili forumu i tunel i dalje radi. Privatni ključ ne možete predati, čak ni korisničkoj podršci, a da pritom ne predate identitet koji taj ključ dokazuje. Odluka rijetko ostaje tako čista jer ljudi brkaju koju polovicu para gledaju i jer neka postavljanja tretiraju javnu vrijednost kao ime. Tri provjere to rješavaju: koju polovicu imate, na što je postavljanje veže i koliko košta zamjena.

Prva provjera: koja je polovica para u vašem međuspremniku

Asimetrični ključevi dolaze u parovima, a smjer izvođenja je cijela poanta. U WireGuardu je privatni ključ 32 slučajna bajta, a javni se ključ računa iz njega; obrnutim smjerom ne ide. wg genkey zapisuje privatnu vrijednost, wg pubkey izvodi javnu i samo druga pripada poruci upućenoj drugom računalu.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Svijet certifikata rabi istu podjelu s više pokretnih dijelova. Poslužiteljski certifikat nosi javni ključ i imena, a potpisuje ga privatni ključ certifikacijskog tijela koji nikada ne napušta to tijelo. Klijent koji provjerava taj poslužitelj treba certifikat tijela, koji je javan, i nema nikakve koristi od privatnog ključa za potpisivanje.

Ako niste sigurni koju vrijednost držite, tražite oznaku, a ne ime datoteke. PEM blok koji počinje s -----BEGIN PRIVATE KEY-----, ili stariji oblik BEGIN RSA PRIVATE KEY, tajna je polovica. Vrijednost koju možete zalijepiti bez te oznake kandidat je za dijeljenje, uz uvjet sljedećih dviju provjera.

Druga provjera: na što postavljanje veže tu javnu vrijednost

Kriptografska sigurnost i anonimnost različita su svojstva. Javni ključ WireGuard računala stabilan je identifikator unutar postavljanja: konfiguracija poslužitelja ga navodi, rukovanje ga imenuje, a administrator koji čita zapise vidi isti niz svaki put kad se to računalo poveže. Objavite ključ uz pitanje o svom postavljanju i taj ste niz povezali sa svime ostalim u objavi.

Certifikati odaju identitet po dizajnu. Polja Subject i subject alternative name čitljiva su, a za javno pouzdane TLS certifikate sam se certifikat objavljuje u zapisima Certificate Transparency koji su pretraživi. Ništa od toga ne otkriva privatni ključ, a sve to otkriva odnos.

Tu se postavljanja razlikuju i to odlučuje odgovor. Privremeno probno računalo na laboratorijskom poslužitelju drugi je objekt od ključa koji identificira korporativnu točku između lokacija, iako bajtovi izgledaju jednako.

Treća provjera: što možete opozvati i koliko brzo

Treća provjera potpuno razdvaja dvije polovice. Javni ključ koji je objavljen može se zamijeniti prema vašem rasporedu. Privatni ključ koji je objavljen ne može se povući: brisanje vaše kopije ne dira kopije koje su već uzete, a svako računalo koje mu je vjerovalo sada vjeruje nečemu što drži netko izvana.

Opoziv je radnja u konfiguraciji, a ne kriptografska radnja. WireGuard ne isporučuje popis opoziva, pa računalo uklanjate:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN postavljanja utemeljena na certifikatima opozivaju certifikat i objavljuju CRL koji poslužitelj doista provjerava kroz crl-verify. Bez te direktive popis opoziva samo je ukras. U svakom slučaju redoslijed je isti: izdajte zamjenu, podijelite je podržanim kanalom, pa umirovite stari identitet.

Pogreške koje nastaju kad se tri provjere spoje u jednu

Većina stvarnih curenja nije osoba koja odluči objaviti privatni ključ. To je cijeli profil zalijepljen na forum: WireGuard .conf s retkom PrivateKey, ili paket .ovpn s ugrađenim blokom ključa, ili snimka zaslona klijentskog prozora u koji je slučajno ušlo polje ključa. Javna je vrijednost vjerojatno bila ispravna; putovala je s dijelom koji nije bio.

Tijekovi rada podrške drugi su izvor. Nijedan legitiman korak provjere ne treba vaš privatni ključ jer druga strana izvodi ono što joj treba iz javne polovice. Kad obrazac ili osoba zatraži privatnu vrijednost, točan je odgovor javna vrijednost plus lokalna naredba koja je proizvodi.

Zapisi i snimke zaslona pripadaju istoj kategoriji. Dijagnostički izlaz može nositi ključni materijal, identifikatore sesije i unutarnje adrese, a objavljivanje svega toga da bi se dobio odgovor na jedno pitanje mijenja malu udobnost za veću izloženost.

Nakon što privatna vrijednost iscuri, umirovite identitet

Ako je privatna vrijednost ipak izašla, tretirajte taj identitet kao umirovljen. Generirajte novi par, instalirajte javnu polovicu gdje je računala očekuju, uklonite staro računalo ili opozovite stari certifikat i provjerite mjesta na kojima ste ga objavili. Ne možete izbrisati kopije koje ne kontrolirate, pa se uklanjanje tiče budućnosti, a ne prošlosti.

Zatim zapišite distribuciju: koji ključ pripada kojem uređaju, tko drži kopiju, kako se dostavlja zamjena i tko uklanja umirovljeno računalo. To su dijelovi koje ljudi zaboravljaju i oni odlučuju koliko dugo curenje ostaje korisno.