Anda tidak perlu kunci privat untuk men-debug VPN

Permintaan itu terdengar masuk akal: kirim konfigurasi agar dukungan bisa melihat apa yang salah. Dari situ juga kunci privat berakhir di sistem tiket dan log obrolan. Konfigurasi adalah identitas, bukan diagnostik, dan orang yang men-debug terowongan Anda hampir tidak pernah membutuhkan separuh yang membuktikan siapa Anda. Keluaran status menjawab pertanyaan yang sama tanpa risiko itu.

Mitosnya adalah konfigurasi satu-satunya tampilan lengkap. Itu tampilan lengkap yang paling tidak aman.

Mitos: dukungan membutuhkan konfigurasi

Dukungan membutuhkan teks kesalahan, versi klien dan server, endpoint, status handshake, dan urutan peristiwa. Semua itu status. Konfigurasi menambahkan kunci, dan kunci adalah yang memungkinkan orang lain menjadi Anda. Menyerahkan konfigurasi untuk memperbaiki masalah perutean seperti mengirim paspor lewat pos untuk menjelaskan penerbangan yang tertunda. Permintaan biasanya datang dari seseorang yang belum pernah melihat jaringan Anda dan meminta hal yang paling mudah dilampirkan.

Kirim keluaran terkecil yang menjawab pertanyaan, bukan yang terbesar yang bisa Anda temukan.

Apa yang sebenarnya ditampilkan status

wg show WireGuard mencetak antarmuka, peer, IP yang diizinkan, endpoint, handshake terakhir, dan penghitung transfer, dan tidak mencetak kunci privat. Keluaran status dan log OpenVPN memberikan status koneksi dan kesalahan tanpa blok kunci tersemat. Keduanya cukup untuk melihat apakah handshake selesai, apakah penghitung bergerak, dan peer mana yang dipakai, yang didokumentasikan manual wg sebagai tampilan status.

Jika seorang pembantu meminta konfigurasi sebelum meminta keluaran itu, tanyakan apa yang akan ditunjukkan konfigurasi yang tidak ditunjukkan status.

Di mana rahasia bersembunyi di setiap format

Berkas konfigurasi WireGuard memuat baris PrivateKey, dan kunci peer publik plus metadata endpoint tetap mengidentifikasi meski tanpa itu. Profil OpenVPN dapat menyematkan blok <key> dan <tls-crypt> atau menunjuk berkas terpisah yang ikut bepergian dengan profil. Arsip dukungan klien bisa berisi jauh lebih banyak daripada yang ditampilkan jendela log, termasuk profil tersimpan di cache yang Anda lupa ada. Tangkapan layar adalah kebocoran umum lainnya, karena jendela terminal menampilkan lebih banyak daripada perintah yang ingin Anda bagikan.

Baca dokumentasi ekspor, lalu buka berkasnya. Keluaran berlabel diagnostik belum tentu sudah dibersihkan dari apa pun.

Sunting, lalu kirim salinan yang sudah ditinjau

Simpan aslinya di tempat terlindungi dan kirim salinan yang sudah ditinjau. Ganti endpoint dan kunci publik dengan placeholder stabil bila nilai sebenarnya tidak diperlukan, dan hapus blok kunci privat sepenuhnya alih-alih menutupinya sebagian. Menutupi sebagian blok base64 tetap kunci yang bocor. Baca berkasnya sekali lagi sebelum dikirim, karena arsip sering membawa salinan kedua profil yang sama.

Gunakan saluran terverifikasi, dan periksa siapa yang menerimanya sebelum Anda melampirkan apa pun.

Jika kunci sudah bocor

Menghapus pesan tidak memulihkan salinan yang sudah dimiliki orang lain. Putar identitas melalui proses pencabutan dan penggantian operator, dan perlakukan kunci lama sebagai terkompromi sejak dikirim. Sebagian besar operator akan cepat mengganti identitas klien begitu paparan dilaporkan, dan pelaporannya itulah bagian yang orang tunda.

Aturan yang sama berlaku untuk kunci yang ditempel di tiket, tangkapan layar, atau utas obrolan. Rotasi adalah solusinya; penghapusan hanyalah kerapian.