Profil VPN Anda membawa kunci privat, bukan hanya pengaturan

Setiap orang yang menempelkan profil VPN ke utas forum berangkat dari keyakinan yang sama. Berkasnya hanya berisi satu alamat server dan beberapa opsi, jadi membagikannya terasa seperti membagikan nomor telepon. Lalu seseorang membacanya dan menemukan kunci privat yang tidak terenkripsi di baris keempat.

Profil ini bukan dokumentasi tentang terowongan. Ini identitas terowongan itu, tertulis.

Objek-objek dalam berkas tidak memiliki tingkat kerahasiaan yang sama

Sertifikat CA publik dimaksudkan untuk berpindah. Kunci privat klien tidak. Saat keduanya muncul di berkas yang sama, yang tidak berbahaya membuat seluruh lampiran tampak aman. Itulah jebakannya.

OpenVPN memperburuknya secara desain. Ia mengizinkan sertifikat, kunci, dan materi autentikasi disematkan langsung. Itu nyaman untuk penerapan dan bencana untuk berbagi. Berkas yang dimulai dengan blok sertifikat yang terbaca berlanjut ke bagian privat.

WireGuard lebih blak-blakan. Bagian antarmuka membawa kunci privat, dan setiap peer dapat membawa kunci yang dibagikan sebelumnya di atasnya. Tidak ada ambiguitas tentang baris mana yang penting. Hampir setiap baris penting.

Tangkapan layar adalah kebocoran yang sama dalam format lain

Mengodekan konfigurasi sebagai kode QR tidak menjadikannya pratinjau. Kode itu membawa byte yang sama, dan kamera ponsel apa pun di ruangan dapat mendekodenya. Hal yang sama berlaku untuk tangkapan layar jendela konfigurasi klien, tempat kunci itu terbaca di sudut.

Berkas autentikasi dan jalur kunci yang dirujuk termasuk dalam audit yang sama. Profil yang menunjuk ke berkas eksternal tidak otomatis lebih aman, karena jalurnya bisa mengarah ke tempat yang dapat dijangkau pembaca. Token dalam berkas autentikasi sama bergunanya dengan kata sandi, dan jarang terlihat seperti itu.

Kirim teks galat, bukan kuncinya

Diagnosis membutuhkan teks galat, versi klien, dan nama opsi yang dicoba. Tidak membutuhkan kuncinya. Tulis pertanyaannya dengan ketiga hal itu, dan ganti setiap rahasia dan setiap pengenal jaringan yang tidak perlu sebelum berkas meninggalkan mesin Anda.

Bagian manual OpenVPN tentang berkas sebaris adalah peta berguna tentang di mana objek-objek itu berada. Ini juga pengingat berapa banyak yang dapat ditampung satu profil.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Lalu bacalah lampiran akhir alih-alih mempercayai ingatan Anda tentang penyuntingannya. Kunci bersembunyi di blok berikutnya, di komentar yang tidak disunting, dan di baris yang Anda putuskan sebagai struktural.

Setelah terekspos, rotasi adalah satu-satunya perbaikan

Menghapus kiriman tidak mencabut apa pun. Siapa pun yang menerima berkas itu masih memegang kredensial yang berfungsi, karena itu penerbit harus mencabut atau menggantinya melalui proses layanan itu sendiri. Menghapus salinan lokal tidak mengubah apa pun di ujung jauh.

Simpan profil kerja dengan metode yang terlindungi, dan hapus entri impor yang usang dengan sengaja alih-alih meninggalkan tiga salinan di folder unduhan. Profil yang tidak lagi Anda gunakan tetap merupakan kredensial sampai dicabut.

Kebiasaan yang layak dibangun itu kecil. Sebelum profil mana pun meninggalkan mesin, tanyakan apa lagi yang ada di dalamnya selain alamat, dan jawab dengan membaca berkasnya, bukan mengingatnya.