A VPN-profilod nem csak beállításokat, hanem privát kulcsot is tartalmaz

Mindenki, aki VPN-profilt szúr be egy fórumtémába, ugyanabból a hitből indul ki. A fájl csak egy kiszolgálócímet és néhány beállítást tartalmaz, ezért a megosztása olyan, mintha telefonszámot osztanánk meg. Aztán valaki elolvassa, és a negyedik sorban egy titkosítatlan privát kulcsot talál.

A profil nem a tunelről szóló dokumentáció. Ez a tunel identitása, kiírva.

A fájlban lévő objektumok titkossági szintje nem azonos

Egy nyilvános CA-tanúsítvány utazásra készült. Egy ügyfél privát kulcsa nem. Amikor mindkettő ugyanabban a fájlban szerepel, az ártalmatlan miatt az egész melléklet biztonságosnak tűnik. Ez a csapda.

OpenVPN ezt tervezéséből fakadóan súlyosbítja. Lehetővé teszi tanúsítványok, kulcsok és hitelesítési anyagok közvetlen beágyazását. Ez kényelmes telepítéskor és katasztrofális megosztáskor. A fájl, amely egy olvasható tanúsítványblokkal kezdődik, a privát felébe folytatódik.

A WireGuard egyenesebb ebben. Az interfész szakasz privát kulcsot hordoz, és minden peer ezen felül hordozhat egy előre megosztott kulcsot. Nincs semmi kétértelműség abban, mely sorok számítanak. Szinte minden sor számít.

A képernyőkép ugyanaz a szivárgás más formátumban

Egy konfiguráció QR-kódként való kódolása nem teszi előnézetté. A kód ugyanazokat a bájtokat hordozza, és a szobában bármely telefon kamerája dekódolhatja. Ugyanez vonatkozik egy ügyfél konfigurációs ablakának képernyőképére, ahol a kulcs a sarokban olvasható.

A hitelesítési fájlok és a hivatkozott kulcsútvonalak ugyanahhoz az auditáláshoz tartoznak. Egy külső fájlra mutató profil nem automatikusan biztonságosabb, mert az útvonal olyan helyre vezethet, ahová egy olvasó eljut. Egy token a hitelesítési fájlban ugyanolyan használható, mint egy jelszó, és ritkán is úgy néz ki.

A hibaüzenetet küldd, ne a kulcsot

A diagnózishoz a hibaüzenetre, az ügyfél verziójára és a kipróbált beállítások nevére van szükség. A kulcsra nincs. Írd meg a kérdést ezzel a három dologgal, és cseréld ki minden titkot és minden szükségtelen hálózati azonosítót, mielőtt a fájl elhagyja a gépedet.

Az OpenVPN útmutatójának beágyazott fájlokról szóló szakasza hasznos térkép arról, hol vannak ezek az objektumok. Arra is emlékeztet, mennyit tartalmazhat egyetlen profil.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Utána olvasd el a végleges mellékletet, ahelyett hogy a szerkesztésre vonatkozó emlékezetedben bíznál. A kulcsok későbbi blokkokban, nem törölt megjegyzésben és egy szerkezetinek vélt sorban bújnak meg.

Kitettség után csak a rotáció a javítás

A bejegyzés törlése semmit nem von vissza. Aki megkapta a fájlt, még mindig érvényes hitelesítő adattal rendelkezik, ezért a kibocsátónak a szolgáltatás saját folyamatán keresztül kell visszavonnia vagy lecserélnie. Egy helyi példány eltávolítása semmit nem változtat a távoli oldalon.

A működő profilokat védett módszerrel tárold, az elavult importált bejegyzéseket pedig szándékosan távolítsd el, ahelyett hogy három példányt hagynál a letöltések mappában. Egy profil, amelyet már nem használsz, még mindig hitelesítő adat, amíg vissza nem vonják.

A kialakítandó szokás kicsi. Mielőtt bármely profil elhagyja a gépet, kérdezd meg, mi más van benne a címen kívül, és olvasással válaszolj, ne emlékezésből.