Nije vam potreban privatni ključ za otklanjanje pogrešaka na VPN-u

Zahtjev zvuči razumno: pošaljite konfiguraciju da podrška vidi što nije u redu. Tako i privatni ključevi završe u sustavima za tikete i zapisima razgovora. Konfiguracija je identitet, a ne dijagnostika, i osoba koja otklanja pogreške na vašem tunelu gotovo nikada ne treba onu polovicu koja dokazuje tko ste. Statusni izlaz odgovara na ista pitanja bez tog rizika.

Mit je da je konfiguracija jedini potpuni prikaz. Ona je najmanje siguran potpuni prikaz.

Mit: podršci treba konfiguracija

Podršci treba tekst pogreške, verzije klijenta i poslužitelja, endpoint, stanje rukovanja i redoslijed događaja. Sve je to status. Konfiguracija dodaje ključeve, a ključevi su ono što nekome drugome omogućuje da bude vi. Predati konfiguraciju da biste popravili problem s usmjeravanjem je kao poslati putovnicu poštom da objasnite odgođeni let. Zahtjev obično dolazi od nekoga tko nikada nije vidio vašu mrežu i traži ono što je najlakše priložiti.

Pošaljite najmanji izlaz koji odgovara na pitanje, a ne najveći koji možete naći.

Što status zapravo prikazuje

WireGuardov wg show ispisuje sučelja, peerove, dopuštene IP adrese, endpointe, posljednje rukovanje i brojače prijenosa, a ne ispisuje privatni ključ. OpenVPN-ov statusni i log izlaz daje stanje veze i pogreške bez ugrađenih blokova ključa. Oboje je dovoljno da vidite dovršava li se rukovanje, pomiču li se brojači i koji je peer u upotrebi, što wg priručnik dokumentira kao statusni prikaz.

Ako pomoćnik traži konfiguraciju prije nego taj izlaz, pitajte što bi konfiguracija pokazala što status ne pokazuje.

Gdje se kriju tajne u svakom formatu

WireGuard konfiguracijske datoteke sadrže PrivateKey retke, a javni ključevi peerova i metapodaci endpointa i dalje identificiraju čak i bez njih. OpenVPN profili mogu ugraditi <key> i <tls-crypt> blokove ili upućivati na zasebne datoteke koje putuju s profilom. Klijentski arhiv podrške može sadržavati mnogo više od onoga što prikazuje prozor zapisa, uključujući predmemorirane profile za koje ste zaboravili da postoje. Snimke zaslona drugo su uobičajeno curenje, jer terminalski prozor prikazuje više od naredbe koju ste namjeravali podijeliti.

Pročitajte dokumentaciju o izvozu, pa otvorite datoteku. Izlaz označen kao dijagnostika nije nužno lišen bilo čega.

Redigirajte, pa pošaljite pregledanu kopiju

Držite original na zaštićenom mjestu i pošaljite pregledanu kopiju. Zamijenite endpointe i javne ključeve stabilnim rezerviranim mjestima kada prave vrijednosti nisu potrebne i potpuno uklonite blokove privatnog ključa umjesto da ih djelomično zaklanjate. Djelomično zaklanjanje base64 bloba i dalje je procurio ključ. Pročitajte datoteku još jednom prije nego ode, jer arhivi često nose drugu kopiju istog profila.

Koristite provjeren kanal i provjerite ko ga prima prije nego bilo što priložite.

Ako je ključ već procurio

Brisanje poruke ne vraća kopije koje drugi već imaju. Rotirajte identitet kroz operaterov proces opoziva i zamjene i tretirajte stari ključ kao kompromitiran od trenutka kada je poslan. Većina operatera brzo će zamijeniti identitet klijenta nakon što se izloženost prijavi, a prijava je dio koji ljudi odgađaju.

Isto pravilo vrijedi za ključ zalijepljen u tiket, snimku zaslona ili chat nit. Rotacija je rješenje; brisanje je održavanje.