Non serve la chiave privata per eseguire il debug di una VPN

La richiesta sembra ragionevole: invia la configurazione così il supporto vede cosa non va. È anche così che le chiavi private finiscono nei sistemi di ticket e nei log delle chat. Una configurazione è un'identità, non una diagnostica, e chi esegue il debug del tuo tunnel quasi mai ha bisogno della metà che dimostra chi sei. L'output di stato risponde alle stesse domande senza quel rischio.

Il mito è che una configurazione sia l'unica vista completa. È la vista completa meno sicura.

Il mito: il supporto ha bisogno della configurazione

Il supporto ha bisogno del testo dell'errore, delle versioni di client e server, dell'endpoint, dello stato dell'handshake e dell'ordine degli eventi. Tutto questo è stato. Una configurazione aggiunge chiavi, e le chiavi sono ciò che permette a qualcun altro di essere te. Consegnare una configurazione per risolvere un problema di routing è come spedire il passaporto per posta per spiegare un volo in ritardo. La richiesta di solito arriva da qualcuno che non ha mai visto la tua rete e chiede la cosa più facile da allegare.

Invia l'output più piccolo che risponde alla domanda, non il più grande che riesci a trovare.

Cosa mostra davvero lo stato

Il wg show di WireGuard stampa interfacce, peer, IP consentiti, endpoint, l'ultimo handshake e i contatori di trasferimento, e non stampa la chiave privata. L'output di stato e di log di OpenVPN fornisce stato della connessione ed errori senza i blocchi di chiave incorporati. Entrambi bastano per vedere se un handshake si completa, se i contatori si muovono e quale peer è in uso, cosa che il manuale di wg documenta come vista di stato.

Se un aiutante chiede la configurazione prima di chiedere quell'output, chiedigli cosa mostrerebbe la configurazione che lo stato non mostra.

Dove si nascondono i segreti in ogni formato

I file di configurazione WireGuard contengono righe PrivateKey, e le chiavi pubbliche dei peer più i metadati dell'endpoint restano identificanti anche senza di esse. I profili OpenVPN possono incorporare blocchi <key> e <tls-crypt> o puntare a file separati che viaggiano con il profilo. L'archivio di supporto di un client può contenere molto più di quanto mostri la finestra di log, compresi profili nella cache che avevi dimenticato esistessero. Gli screenshot sono l'altra fuga comune, perché una finestra di terminale mostra più del comando che volevi condividere.

Leggi la documentazione sull'esportazione, poi apri il file. Un output etichettato diagnostica non è necessariamente stato ripulito da qualcosa.

Oscura, poi invia una copia rivista

Tieni l'originale in un luogo protetto e invia una copia rivista. Sostituisci endpoint e chiavi pubbliche con segnaposto stabili quando i valori reali non servono, e rimuovi del tutto i blocchi di chiave privata invece di oscurarli parzialmente. L'oscuramento parziale di un blob base64 resta una chiave trapelata. Rileggi il file un'ultima volta prima che parta, perché gli archivi spesso portano una seconda copia dello stesso profilo.

Usa un canale verificato e controlla chi lo riceve prima di allegare qualcosa.

Se una chiave è già trapelata

Eliminare il messaggio non recupera le copie che altri hanno già. Ruota l'identità tramite il processo di revoca e sostituzione dell'operatore e tratta la vecchia chiave come compromessa dal momento in cui è stata inviata. La maggior parte degli operatori sostituirà rapidamente l'identità di un client una volta segnalata l'esposizione, e la segnalazione è la parte che le persone rimandano.

La stessa regola vale per una chiave incollata in un ticket, uno screenshot o un thread di chat. La rotazione è la soluzione; cancellare è solo ordine.