VPN-sniðið þitt inniheldur einkalykil, ekki bara stillingar

Hver sem límir VPN-sniði í þráð á vettvangi byrjar á sömu trú. Skráin inniheldur aðeins netþjónsfang og nokkra valkosti, þannig að að deila henni virðist eins og að deila símanúmeri. Svo les einhver hana og finnur ódulkóðaðan einkalykil á fjórðu línu.

Sniðið er ekki skjöl um göngin. Það er auðkenni ganganna, skrifað út.

Hlutirnir í skránni hafa ekki sama leyndarstig

Opinbert CA-vottorð er ætlað til að ferðast. Einkalykill biðlara er það ekki. Þegar bæði birtast í sömu skrá, lætur hinn meinlausi alla viðhengið líta út fyrir að vera öruggt. Það er gildran.

OpenVPN gerir þetta verra vegna hönnunar sinnar. Það leyfir vottorðum, lyklum og auðkenningarefni að vera byggð inn beint. Það er þægilegt við uppsetningu og hörmulegt við deilingu. Skráin sem byrjar á læsilegri vottorðsblokk heldur áfram í einkahlutann.

WireGuard er beinskeyttara. Viðmótshlutinn ber einkalykil, og hver peer getur að auki borið fyrirfram deildan lykil. Enginn vafi er um hvaða línur skipta máli. Næstum hver lína gerir það.

Skjámynd er sama leki í öðru sniði

Að kóða stillingu sem QR-kóða gerir hana ekki að forskoðun. Kóðinn ber sömu bætin, og hver símamyndavél í herberginu getur afkóðað hann. Sama gildir um skjámynd af stillingarglugga biðlara, þar sem lykillinn er læsilegur í horninu.

Auðkenningarskrár og tilvísanir í lykilsslóðir tilheyra sömu úttekt. Snið sem bendir á ytri skrá er ekki sjálfkrafa öruggara, því slóðin getur leitt þangað sem lesandi kemst. Tóken í auðkenningarskrá er jafn nothæft og lykilorð, og það lítur sjaldan þannig út.

Sendu villutextann, ekki lykilinn

Greiningin þarf villutextann, útgáfu biðlarans og nöfn valkostanna sem voru prófaðir. Hún þarf ekki lykilinn. Skrifaðu spurninguna með þessum þremur hlutum, og skiptu út hverju leyndarmáli og hverju óþarfa netauðkenni áður en skráin yfirgefur vélina þína.

Handbókarkaflinn í OpenVPN um innbyggðar skrár er gagnleg kort af því hvar þessir hlutir eru. Hann minnir líka á hversu marga eitt snið getur haldið.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Lestu svo endanlega viðhengið í stað þess að treysta minni þínu um breytinguna. Lyklar fela sig í síðari blokkum, í óritskoðuðum athugasemdum og í línu sem þú ákvaðst að væri byggingarleg.

Eftir uppljóstrun er snúningur eina viðgerðin

Að eyða færslunni afturkallar ekkert. Sá sem fékk skrána hefur enn gilt auðkenni, þess vegna verður útgefandinn að afturkalla eða skipta henni út með eigin ferli þjónustunnar. Að fjarlægja staðbundið eintak breytir engu á hinum endanum.

Geymdu vinnusnið með varðri aðferð, og fjarlægðu úreltar innfluttar færslur viljandi í stað þess að skilja þrjú eintök eftir í niðurhalsmöppu. Snið sem þú notar ekki lengur er enn auðkenni þar til það er afturkallað.

Venjan sem er þess virði að byggja upp er lítil. Áður en eitthvert snið yfirgefur vélina, spurðu hvað annað er í því fyrir utan netfangið, og svaraðu með því að lesa skrána í stað þess að muna hana.