Er hægt að deila VPN-opnum lykli? Athugaðu þrjá hluti

Þú getur afhent VPN-opinn lykil þinn jafningja, þjónustuveitanda eða vettvangi, og göngin halda áfram að virka. Þú getur ekki afhent lokaða lykilinn, jafnvel ekki til stuðningsfólks, án þess að afhenda það auðkenni sem lykillinn sannar. Ákvörðunin er sjaldan svona skýr, því fólk ruglar saman hvorri helmingi parsins það er að skoða, og því sumar uppsetningar meðhöndla opinbera gildið sem nafn. Þrjár athuganir leysa þetta: hvorum helmingnum þú heldur, við hvað uppsetningin bindur það, og hvað endurnýjun kostar.

Athugun eitt: hvor helmingur parsins er í klippiborðinu þínu

Ósamhverfir lyklar koma í pörum, og stefna afleiðslunnar er allt málið. Í WireGuard er lokaði lykillinn 32 slembubæti og opni lykillinn er reiknaður út frá honum; ekki er hægt að fara hina leiðina. wg genkey skrifar lokaða gildið, wg pubkey leiðir út það opna, og aðeins það síðara á heima í skilaboðum til jafningja.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Heimur skírteina notar sömu skiptingu með fleiri hreyfanlegum hlutum. Skíreini þjóns ber opinn lykil auk nafna, og það er undirritað af lokuðum lykli CA sem fer aldrei frá CA. Skjólstæðingur sem sannreynir þann þjón þarf CA-skíreinið, sem er opið, og hefur enga not fyrir lokaða undirritunarlykil CA.

Ef þú ert ekki viss um hvaða gildi þú heldur á, leitaðu að merkinu frekar en skráarnafninu. PEM-blokk sem byrjar á -----BEGIN PRIVATE KEY-----, eða eldra forminu BEGIN RSA PRIVATE KEY, er leyndi helmingurinn. Gildi sem þú getur límt án þess merkis er efni til að deila, með fyrirvara um næstu tvær athuganir.

Athugun tvö: við hvað uppsetningin bindur það opinbera gildi

Dulritunaröryggi og nafnleynd eru mismunandi eiginleikar. Opinber lykill WireGuard-jafningja er stöðugt auðkenni innan uppsetningarinnar: stilling þjónsins tilgreinir hann, handabandið nefnir hann, og stjórnandi sem les annála sér sama strenginn í hvert sinn sem sá jafningi tengist. Ef þú birtir lykilinn við hlið spurningar um uppsetninguna þína hefur þú tengt þann streng við allt annað í færslunni.

Skíreini leka auðkenni að hönnun. Subject og subject alternative name eru læsileg, og fyrir opinberlega traust TLS-skíreini er skíreinið sjálft birt í Certificate Transparency-annálum, sem eru leitanlegir. Ekkert af því afhjúpar lokaðan lykil, og allt af því afhjúpar tengsl.

Hér er það sem greinir uppsetningar, og það ræður svarinu. Einstaklingsjafningi í prófun á rannsóknarþjóni er annar hlutur en lykillinn sem auðkennir stað-til-staðar endapunkt fyrirtækis, þótt bætin líti eins út.

Athugun þrjú: hvað þú getur afturkallað, og hversu hratt

Þriðja athugunin aðskilur helmingana að fullu. Opinber lykill sem hefur verið birtur er hægt að endurnýja samkvæmt þínum tímaáætlun. Lokaðan lykil sem hefur verið birtan er ekki hægt að kalla til baka: að eyða þínu eintaki snertir ekki eintök sem þegar eru tekin, og hver jafningi sem treysti honum treystir nú einhverju sem utanaðkomandi heldur á.

Afturköllun er stillingaraðgerð, ekki dulritunarleg. WireGuard sendir enga afturköllunarlista, svo þú fjarlægir jafningjann:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN uppsetningar byggðar á skírteinum afturkalla skíreinið og birta CRL sem þjóninn athugar í raun í gegnum crl-verify. Án þeirrar tilskipunar er afturköllunarlistinn skraut. Bæði leiðir er röðin sú sama: gefðu út endurnýjun, dreifðu henni um studda rásina, og dragðu síðan gamla auðkennið til baka.

Mistökin sem koma af því að steypa athugununum þremur saman

Flest raunveruleg leki eru ekki einstaklingur sem ákveður að birta lokaðan lykil. Það er heilt prófíl límt inn á vettvang: WireGuard .conf með PrivateKey línu, .ovpn pakka með innfelldri lyklablokk, eða skjámynd af skjólstæðingaglugga sem inniheldur lykilsvæðið fyrir tilviljun. Opinbera gildið var líklega í lagi; það ferðaðist með hlutanum sem var það ekki.

Stuðningsferlar eru önnur uppsprettan. Ekkert lögmætt sannreynsluskref þarf lokaða lykilinn þinn, því hin hliðin leiðir út það sem hún þarf úr opna helmingnum. Þegar eyðublað eða einstaklingur biður um lokaða gildið er rétta svarið opinbera gildið auk staðbundnu skipunarinnar sem framleiðir það.

Annálar og skjámyndir tilheyra sama flokki. Greiningarúttak getur borið lykilefni, setuauðkenni og innri vistföng, og að birta allt það til að fá eina spurningu svarað skiptir litlum þægindum fyrir meiri áhættu.

Eftir að lokað gildi lekur, dragðu auðkennið til baka

Ef lokað gildi komst út, líttu á það auðkenni sem affermt. Búðu til nýtt par, settu opna helminginn þar sem jafningjar búast við honum, fjarlægðu gamla jafningjann eða afturkallaðu gamla skíreinið, og athugaðu staðina þar sem þú birtir það. Þú getur ekki eytt eintökum sem þú stjórnar ekki, svo fjarlæging snýst um framtíðina, ekki fortíðina.

Skrifaðu síðan dreifinguna niður: hvaða lykill tilheyrir hvaða tæki, hver heldur eintaki, hvernig endurnýjun er afhent, og hver fjarlægir affermdan jafningja. Þetta eru hlutirnir sem fólk gleymir, og þeir ákvarða hversu lengi leki heldur gildi sínu.