Nem kell a privát kulcs a VPN hibakereséséhez

A kérés ésszerűnek hangzik: küldd el a konfigurációt, hogy a támogatás lássa, mi a hiba. Így kerülnek a privát kulcsok is ticketrendszerekbe és csevegésnaplókba. A konfiguráció identitás, nem diagnosztika, és aki az alagútját hibakeresi, szinte soha nem igényli azt a felét, ami bizonyítja, ki vagy. A státuszkimenet ugyanazokra a kérdésekre válaszol e kockázat nélkül.

A mítosz az, hogy a konfiguráció az egyetlen teljes nézet. Ez a legkevésbé biztonságos teljes nézet.

A mítosz: a támogatásnak a konfiguráció kell

A támogatásnak a hibaüzenet, a kliens és a kiszolgáló verziója, a végpont, a kézfogás állapota és az események sorrendje kell. Mindez státusz. A konfiguráció kulcsokat ad hozzá, és a kulcsok azok, amik lehetővé teszik valaki másnak, hogy te legyen. Konfigurációt átadni egy útvonalválasztási probléma javításához olyan, mint postán elküldeni az útlevelet egy késő repülőjárat magyarázataként. A kérést általában olyan valaki küldi, aki soha nem látta a hálózatodat, és azt kéri, amit a legkönnyebb mellékelni.

A legkisebb kimenetet küldd el, amely megválaszolja a kérdést, ne a legnagyobbat, amit találsz.

Mit mutat valójában a státusz

A WireGuard wg show parancsa interfészeket, partnereket, engedélyezett IP-címeket, végpontokat, a legutóbbi kézfogást és átvitelszámlálókat ír ki, és nem írja ki a privát kulcsot. Az OpenVPN státusz- és naplókimenete kapcsolati állapotot és hibákat ad a beágyazott kulcsblokkok nélkül. Mindkettő elég ahhoz, hogy lássuk, befejeződik-e egy kézfogás, mozognak-e a számlálók és melyik partner van használatban, amit a wg kézikönyv státusznézetként dokumentál.

Ha egy segítő a konfigurációt kéri a kimenet előtt, kérdezd meg, mit mutatna a konfiguráció, amit a státusz nem mutat.

Hol rejtőznek a titkok az egyes formátumokban

A WireGuard konfigurációs fájljai PrivateKey sorokat tartalmaznak, és a nyilvános partnerkulcsok plusz a végpont metaadatai ezek nélkül is azonosítanak. Az OpenVPN profilok beágyazhatnak <key> és <tls-crypt> blokkokat, vagy külön fájlokra mutathatnak, amelyek a profillal együtt utaznak. Egy kliens támogatási archívuma sokkal többet tartalmazhat, mint amit a naplóablak mutat, beleértve azokat a gyorsítótárazott profilokat is, amelyekről elfelejtetted, hogy léteznek. A képernyőképek a másik gyakori szivárgás, mert a terminálablak többet mutat a megosztani kívánt parancsnál.

Olvasd el az exportdokumentációt, aztán nyisd meg a fájlt. Egy diagnosztikaként felcímkézett kimenet nem feltétlenül lett bármitől is megtisztítva.

Szerkeszd ki, aztán küldj átnézett másolatot

Tartsd az eredetit védett helyen, és küldj átnézett másolatot. Ha a valódi értékekre nincs szükség, cseréld a végpontokat és a nyilvános kulcsokat stabil helyőrzőkre, és a privátkulcs-blokkokat teljesen távolítsd el, ne pedig részben takard el. Egy base64 blokk részleges eltakarása továbbra is szivárgott kulcs. Olvasd át a fájlt még egyszer, mielőtt elmegy, mert az archívumok gyakran ugyanannak a profilnak a második példányát hordozzák.

Ellenőrzött csatornát használj, és nézd meg, ki kapja meg, mielőtt bármit mellékelsz.

Ha egy kulcs már kiszivárgott

Az üzenet törlése nem hozza vissza azokat a példányokat, amelyek másoknál már megvannak. Forgásd az identitást az üzemeltető visszavonási és cserélési folyamatán keresztül, és kezeld a régi kulcsot kompromittáltként attól a pillanattól, hogy elküldték. A legtöbb üzemeltető gyorsan kicseréli az ügyfélidentitást, amint jelentik a kitettséget, és éppen a bejelentés az a rész, amit az emberek halogatnak.

Ugyanez a szabály vonatkozik a ticketbe, képernyőképre vagy csevegésszálba illesztett kulcsra. A forgatás a megoldás; a törlés házimunka.