Ձեր VPN պրոֆիլը պարունակում է մասնավոր բանալի, ոչ միայն կարգավորումներ

Յուրաքանչյուր ոք, ով VPN պրոֆիլ է տեղադրում ֆորումի թելում, սկսում է նույն համոզմունքից։ Ֆայլը պարունակում է միայն սերվերի հասցե և մի քանի ընտրանք, ուստի այն կիսելը նման է հեռախոսահամար կիսելուն։ Հետո ինչ-որ մեկը կարդում է այն և չորրորդ տողում գտնում չգաղտնագրված մասնավոր բանալի։

Պրոֆիլը թունելի մասին փաստաթղթեր չեն։ Դա թունելի ինքնությունն է՝ գրված։

Ֆայլի օբյեկտները գաղտնիության նույն մակարդակը չունեն

Հանրային CA վկայականը նախատեսված է ճամփորդելու համար։ Հաճախորդի մասնավոր բանալին՝ ոչ։ Երբ երկուսն էլ հայտնվում են նույն ֆայլում, անվնասը ամբողջ կցորդը դարձնում է անվտանգ թվացող։ Դա է ծուղակը։

OpenVPN-ը սա ավելի է վատացնում իր ձևավորմամբ։ Այն թույլ է տալիս վկայականները, բանալիները և նույնականացման նյութերը ներկառուցել ուղղակիորեն։ Դա հարմար է տեղակայման համար և աղետալի՝ կիսելու համար։ Այն ֆայլը, որը սկսվում է ընթեռնելի վկայականի բլոկով, շարունակվում է մասնավոր կեսում։

WireGuard-ը ավելի ուղիղ է։ Ինտերֆեյսի հատվածը կրում է մասնավոր բանալի, և յուրաքանչյուր peer կարող է վերևից կրել նաև նախապես կիսված բանալի։ Ոչ մի երկիմաստություն չկա, թե որ տողերն են կարևոր։ Գրեթե ամեն տող կարևոր է։

Էկրանի պատկերը նույն արտահոսքն է այլ ձևաչափով

Կարգավորումը որպես QR կոդ կոդավորելը այն նախադիտում չի դարձնում։ Կոդը կրում է նույն բայթերը, և սենյակում ցանկացած հեռախոսի տեսախցիկ կարող է վերծանել այն։ Նույնը վերաբերում է հաճախորդի կարգավորման պատուհանի էկրանի պատկերին, որտեղ բանալին ընթեռնելի է անկյունում։

Նույնականացման ֆայլերը և հիշատակված բանալու ուղիները պատկանում են նույն աուդիտին։ Արտաքին ֆայլին մատնանշող պրոֆիլը ինքնաբերաբար ավելի անվտանգ չէ, քանի որ ուղին կարող է տանել մի տեղ, որտեղ ընթերցողը կարող է հասնել։ Նույնականացման ֆայլի թոքենը նույնքան օգտագործելի է, որքան գաղտնաբառը, և հազվադեպ է այդպես երևում։

Ուղարկեք սխալի տեքստը, ոչ բանալին

Ախտորոշմանը պետք է սխալի տեքստը, հաճախորդի տարբերակը և փորձված ընտրանքների անվանումները։ Բանալին պետք չէ։ Գրեք հարցը այս երեք բաներով և փոխարինեք ամեն գաղտնիք և ամեն ավելորդ ցանցային նույնացուցիչ, նախքան ֆայլը կհեռանա ձեր մեքենայից։

OpenVPN-ի ձեռնարկի՝ ներկառուցված ֆայլերի մասին բաժինը օգտակար քարտեզ է, թե որտեղ են այդ օբյեկտները։ Այն նաև հիշեցնում է, թե քանիսը կարող է պարունակել մեկ պրոֆիլ։

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Ապա կարդացեք վերջնական կցորդը՝ խմբագրման մասին ձեր հիշողությանը վստահելու փոխարեն։ Բանալիները թաքնվում են ավելի ուշ բլոկներում, չխմբագրված մեկնաբանության մեջ և մի տողում, որը դուք կառուցվածքային համարեցիք։

Բացահայտումից հետո ռոտացիան միակ վերանորոգումն է

Գրառումը ջնջելը ոչինչ չի չեղարկում։ Ով ստացել է ֆայլը, դեռ ունի գործող հավատարմագրեր, դրա համար թողարկողը պետք է չեղարկի կամ փոխարինի այն ծառայության սեփական գործընթացով։ Տեղական պատճենը հեռացնելը ոչինչ չի փոխում հեռավոր ծայրում։

Պահեք աշխատանքային պրոֆիլները պաշտպանված եղանակով, և միտումնավոր հեռացրեք հնացած ներմուծված գրառումները՝ ներբեռնումների թղթապանակում երեք պատճեն թողնելու փոխարեն։ Պրոֆիլը, որը դուք այլևս չեք օգտագործում, դեռ հավատարմագիր է, մինչև այն չեղարկվի։

Կերտվող սովորությունը փոքր է։ Նախքան ցանկացած պրոֆիլ կհեռանա մեքենայից, հարցրեք՝ ինչ էլ կա դրա մեջ բացի հասցեից, և պատասխանեք ֆայլը կարդալով, ոչ թե հիշելով այն։