Կարելի՞ է կիսվել VPN-ի հանրային բանալիով. ստուգեք երեք բան

Դուք կարող եք ձեր VPN-ի հանրային բանալին տալ գործընկերոջը, մատակարարին կամ ֆորումին, և թունելը դեռ կաշխատի։ Մասնավոր բանալին չեք կարող հանձնել, նույնիսկ աջակցության աշխատակազմին, առանց այն ինքնությունը հանձնելու, որն ապացուցում է այդ բանալին։ Որոշումը հազվադեպ է այդքան մաքուր մնում, քանի որ մարդիկ շփոթում են, թե զույգի որ կեսին են նայում, և քանի որ որոշ տեղակայումներ հանրային արժեքին որպես անուն են վերաբերվում։ Երեք ստուգում է դա լուծում՝ որ կեսն ունեք, ինչին է այն կապում տեղակայումը, և ինչ արժե փոխարինումը։

Ստուգում առաջին. զույգի որ կեսն է ձեր սեղմատախտակին

Ասիմետրիկ բանալիները զույգերով են գալիս, և ածանցման ուղղությունը հենց ամբողջ իմաստն է։ WireGuard-ում մասնավոր բանալին 32 պատահական բայթ է, իսկ հանրայինը հաշվարկվում է դրանից. հակառակ ուղղությամբ հնարավոր չէ։ wg genkey գրում է մասնավոր արժեքը, wg pubkey ածանցում է հանրայինը, և միայն երկրորդն է տեղ գտնում գործընկերոջը ուղղված հաղորդագրության մեջ։

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Սերտիֆիկատների աշխարհը նույն բաժանումն է օգտագործում ավելի շատ շարժական մասերով։ Սերվերի սերտիֆիկատը կրում է հանրային բանալի և անուններ, և այն ստորագրվում է CA-ի մասնավոր բանալիով, որը երբեք չի հեռանում CA-ից։ Սերվերը ստուգող հաճախորդին պետք է CA-ի սերտիֆիկատը, որը հանրային է, և նա ոչ մի օգտագործում չունի CA-ի մասնավոր ստորագրման բանալու համար։

Եթե վստահ չեք, թե որ արժեքն եք պահում, նայեք նշանին, ոչ թե ֆայլի անվանը։ PEM բլոկը, որը սկսվում է -----BEGIN PRIVATE KEY----- նշանով, կամ ավելի հին BEGIN RSA PRIVATE KEY ձևով, գաղտնի կեսն է։ Այն արժեքը, որը կարող եք տեղադրել առանց այդ նշանի, կիսման թեկնածու է՝ հաջորդ երկու ստուգումների պայմանով։

Ստուգում երկրորդ. ինչին է տեղակայումը կապում այդ հանրային արժեքը

Գաղտնագրային անվտանգությունը և անանունությունը տարբեր հատկություններ են։ WireGuard-ի գործընկերոջ հանրային բանալին կայուն նույնականացուցիչ է տեղակայման ներսում. սերվերի կոնֆիգուրացիան այն նշում է, ձեռքսեղմումը այն անվանում է, և մատյանները կարդացող ադմինիստրատորը ամեն անգամ տեսնում է նույն տողը, երբ այդ գործընկերը միանում է։ Եթե բանալին տեղադրեք ձեր կարգավորման մասին հարցի կողքին, դուք այդ տողը կապել եք այն ամենի հետ, ինչ կա գրառման մեջ։

Սերտիֆիկատները բացահայտում են ինքնությունը իրենց կառուցվածքով։ Subject-ը և subject alternative name-երը ընթեռնելի են, իսկ հանրությանը վստահելի TLS սերտիֆիկատների դեպքում սերտիֆիկատն ինքն է հրապարակվում Certificate Transparency մատյաններում, որոնք որոնելի են։ Այս ամենը մասնավոր բանալի չի բացահայտում, բայց ամբողջը բացահայտում է հարաբերություն։

Այստեղ են տարբերվում տեղակայումները, և դա է որոշում պատասխանը։ Լաբորատոր սերվերի ժամանակավոր փորձնական գործընկերը այլ օբյեկտ է, քան ընկերության կայքերի միջև վերջնակետը նույնականացնող բանալին, թեև բայթերը նույն տեսքն ունեն։

Ստուգում երրորդ. ինչ կարող եք չեղարկել և ինչ արագությամբ

Երրորդ ստուգումն ամբողջովին բաժանում է երկու կեսերը։ Հրապարակված հանրային բանալին կարելի է փոխարինել ձեր ժամանակացույցով։ Հրապարակված մասնավոր բանալին հնարավոր չէ հետ կանչել. ձեր պատճենը ջնջելը չի դիպչում արդեն վերցված պատճեններին, և յուրաքանչյուր գործընկեր, որը վստահել է դրան, այժմ վստահում է մի բանի, ինչ դրսի մարդն ունի։

Չեղարկումը կոնֆիգուրացիայի գործողություն է, ոչ գաղտնագրային։ WireGuard-ը չեղարկման ցուցակ չի մատակարարում, ուստի գործընկերոջը հանում եք.

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN սերտիֆիկատների վրա կառուցված տեղակայումները չեղարկում են սերտիֆիկատը և հրապարակում CRL, որը սերվերն իրականում ստուգում է crl-verify հրահանգով։ Առանց այդ հրահանգի չեղարկման ցուցակը զարդարանք է։ Երկու դեպքում էլ հաջորդականությունը նույնն է. թողարկեք փոխարինող, տարածեք այն աջակցվող ուղով, ապա հանեք հին ինքնությունը։

Սխալները, որոնք գալիս են երեք ստուգումները մեկի մեջ միացնելուց

Իրական արտահոսքերի մեծ մասը մարդու որոշումը չէ հրապարակել մասնավոր բանալին։ Դրանք ամբողջ պրոֆիլի տեղադրումն է ֆորումում. WireGuard .conf՝ PrivateKey տողով, .ovpn փաթեթ՝ ներկառուցված բանալու բլոկով, կամ հաճախորդի պատուհանի սքրինշոթ, որը պատահաբար ներառում է բանալու դաշտը։ Հանրային արժեքը հավանաբար լավ էր. այն ճամփորդել է այն մասի հետ, որը լավ չէր։

Աջակցության աշխատանքային հոսքերը երկրորդ աղբյուրն են։ Ոչ մի օրինական ստուգման քայլ ձեր մասնավոր բանալիի կարիքը չունի, քանի որ մյուս կողմն իրեն անհրաժեշտը ածանցում է հանրային կեսից։ Երբ ձևաթուղթը կամ մարդը խնդրում է մասնավոր արժեքը, ճիշտ պատասխանը հանրայինն է գումարած այն տեղական հրամանը, որը ստեղծում է այն։

Մատյաններն ու սքրինշոթները նույն կատեգորիային են պատկանում։ Ախտորոշիչ արտածումը կարող է կրել բանալու նյութ, սեսիայի նույնացուցիչներ և ներքին հասցեներ, և այդ ամենը հրապարակելը մեկ հարցի պատասխանի համար փոխանակում է փոքր հարմարավետությունը ավելի մեծ բացահայտման հետ։

Մասնավոր արժեքի արտահոսքից հետո հանեք ինքնությունը

Եթե մասնավոր արժեքը դուրս է եկել, այդ ինքնությունը համարեք թոշակի անցած։ Ստեղծեք նոր զույգ, տեղադրեք հանրային կեսը այնտեղ, որտեղ գործընկերները սպասում են, հանեք հին գործընկերոջը կամ չեղարկեք հին սերտիֆիկատը, և ստուգեք այն վայրերը, որտեղ հրապարակել եք այն։ Դուք չեք կարող ջնջել պատճենները, որոնք ձեր վերահսկողության տակ չեն, ուստի հեռացումը ապագայի մասին է, ոչ անցյալի։

Ապա գրի առեք բաշխումը. որ բանալին որ սարքին է պատկանում, ով է պատճեն պահում, ինչպես է հասցվում փոխարինողը, և ով է հանում թոշակի անցած գործընկերոջը։ Սրանք են, որ մարդիկ մոռանում են, և սրանք են որոշում, թե որքան երկար արտահոսքը օգտակար կմնա։