VPN のデバッグに秘密鍵は必要ありません

その依頼はもっともらしく聞こえます。設定を送ればサポートが何が悪いのか分かる、というわけですが、それは秘密鍵がチケットシステムやチャットログに残る経路でもあります。設定は診断ではなく身元であり、トンネルをデバッグする人が、あなたが誰かを証明する半分を必要とすることはまずありません。ステータス出力は同じ問いに、そのリスクなしで答えます。

設定だけが完全な全体像だというのは神話です。それは最も安全でない全体像です。

神話：サポートには設定が必要だ

サポートに必要なのは、エラーテキスト、クライアントとサーバーのバージョン、エンドポイント、ハンドシェイクの状態、出来事の順序です。それらはすべてステータスです。設定は鍵を加え、鍵は他人があなたになれる手段です。ルーティングの問題を直すために設定を渡すのは、遅延した便を説明するためにパスポートを郵送するようなものです。依頼はたいてい、あなたのネットワークを見たことのない人が、いちばん添付しやすいものを求めてくる形で届きます。

問いに答える最小の出力を送ってください、見つかる最大のものではありません。

ステータスが実際に示すもの

WireGuard の wg show は、インターフェース、ピア、許可された IP、エンドポイント、直近のハンドシェイク、転送カウンターを出力し、秘密鍵は出力しません。OpenVPN のステータスとログの出力は、埋め込まれた鍵ブロックなしで接続状態とエラーを示します。どちらも、ハンドシェイクが完了するか、カウンターが動くか、どのピアが使われているかを見るのに十分であり、wg のマニュアルがこれをステータス表示として文書化しています。

助言者がその出力より先に設定を求めてきたら、ステータスが示さない何を設定が示すのかを尋ねてください。

各形式で秘密が隠れる場所

WireGuard の設定ファイルには PrivateKey 行が含まれ、公開ピア鍵とエンドポイントのメタデータは、それがなくても識別情報になります。OpenVPN のプロファイルは <key> と <tls-crypt> のブロックを埋め込んだり、プロファイルと一緒に移動する別ファイルを指したりできます。クライアントのサポートアーカイブには、ログウィンドウが示すよりはるかに多くが含まれることがあり、存在を忘れていたキャッシュ済みプロファイルも入っています。スクリーンショットもよくある漏えい経路で、ターミナルウィンドウは、共有しようとしたコマンドより多くを見せてしまいます。

エクスポートのドキュメントを読み、それからファイルを開いてください。診断と表示されていても、何かが取り除かれているとは限りません。

伏せ字にしてから、確認済みのコピーを送る

原本は保護された場所に置き、確認済みのコピーを送ってください。実際の値が不要なときは、エンドポイントと公開鍵を安定したプレースホルダーに置き換え、秘密鍵ブロックは部分的に隠すのではなく完全に削除します。base64 ブロックの部分的な隠蔽は、依然として漏えいした鍵です。アーカイブは同じプロファイルの二つ目のコピーを運んでいることがよくあるため、送る前にもう一度ファイルを読んでください。

検証済みの経路を使い、何かを添付する前に誰が受け取るのかを確認してください。

鍵がすでに漏えいした場合

メッセージを削除しても、他の人がすでに持っているコピーは戻りません。運営者の失効と交換の手続きで身元をローテーションし、古い鍵は送信した瞬間から侵害されたものとして扱ってください。ほとんどの運営者は露出が報告されればクライアントの身元をすばやく交換しますが、遅れがちなのは、その報告のほうです。

同じ原則は、チケットやスクリーンショット、チャットのスレッドに貼られた鍵にも当てはまります。直すのはローテーションであり、削除は片づけにすぎません。