შეიძლება VPN-ის საჯარო გასაღების გაზიარება? შეამოწმეთ სამი რამ

თქვენ შეგიძლიათ VPN-ის საჯარო გასაღები გადასცეთ პარტნიორს, პროვაიდერს ან ფორუმს და გვირაბი მაინც იმუშავებს. პირად გასაღებს კი ვერ გადასცემთ, თუნდაც მხარდაჭერის თანამშრომლებს, იმ იდენტობის გადაცემის გარეშე, რომელსაც ეს გასაღები ამტკიცებს. გადაწყვეტილება იშვიათად რჩება ასე მარტივი, რადგან ადამიანები იბნევიან, წყვილის რომელ ნახევარს უყურებენ, და რადგან ზოგიერთი განლაგება საჯარო მნიშვნელობას სახელად განიხილავს. სამი შემოწმება წყვეტს ამას: რომელი ნახევარი გაქვთ, რას აკავშირებს მას განლაგება და რა ღირს შეცვლა.

შემოწმება პირველი: წყვილის რომელი ნახევარია თქვენს ბუფერში

ასიმეტრიული გასაღებები წყვილებად მოდის, და წარმოების მიმართულება მთელი არსია. WireGuard-ში პირადი გასაღები 32 შემთხვევითი ბაიტია, საჯარო კი მისგან გამოითვლება; საპირისპიროდ შეუძლებელია. wg genkey წერს პირად მნიშვნელობას, wg pubkey იღებს საჯაროს, და მხოლოდ მეორე ხვდება პარტნიორისთვის გაგზავნილ შეტყობინებაში.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

სერტიფიკატების სამყარო იგივე გაყოფას იყენებს მეტი მოძრავი ნაწილით. სერვერის სერტიფიკატი ატარებს საჯარო გასაღებსა და სახელებს და ხელმოწერილია CA-ის პირადი გასაღებით, რომელიც CA-ს არასოდეს ტოვებს. კლიენტს, რომელიც ამ სერვერს ამოწმებს, სჭირდება CA-ის სერტიფიკატი, რომელიც საჯაროა, და CA-ის პირადი ხელმოწერის გასაღებისგან არაფერს იღებს.

თუ დარწმუნებული არ ხართ, რომელი მნიშვნელობა გიჭირავთ, მოძებნეთ ნიშანი და არა ფაილის სახელი. PEM ბლოკი, რომელიც იწყება -----BEGIN PRIVATE KEY------ით, ან უფრო ძველი BEGIN RSA PRIVATE KEY ფორმით, საიდუმლო ნახევარია. მნიშვნელობა, რომლის ჩასმაც ამ ნიშნის გარეშე შეგიძლიათ, გაზიარების კანდიდატია, შემდეგი ორი შემოწმების პირობით.

შემოწმება მეორე: რას აკავშირებს განლაგება ამ საჯარო მნიშვნელობასთან

კრიპტოგრაფიული უსაფრთხოება და ანონიმურობა სხვადასხვა თვისებაა. WireGuard-ის პარტნიორის საჯარო გასაღები სტაბილური იდენტიფიკატორია განლაგების შიგნით: სერვერის კონფიგურაცია მას ჩამოთვლის, ხელის ჩამორთმევა მას ასახელებს, და ჟურნალებს მკითხველი ადმინისტრატორი ყოველ ჯერზე იმავე სტრიქონს ხედავს, როცა ეს პარტნიორი უკავშირდება. თუ გასაღებს განათავსებთ თქვენი კონფიგურაციის შესახებ კითხვის გვერდით, თქვენ ეს სტრიქონი დაუკავშირეთ ყველაფერს, რაც პოსტშია.

სერტიფიკატები იდენტობას ღიად ამჟღავნებენ. Subject და subject alternative name წაკითხვადია, ხოლო საჯაროდ სანდო TLS სერტიფიკატებისთვის თავად სერტიფიკატი ქვეყნდება Certificate Transparency ჟურნალებში, რომლებიც საძიებოა. ეს არაფერი ამჟღავნებს პირად გასაღებს და ყველაფერი ამჟღავნებს ურთიერთობას.

აქ განსხვავდება განლაგებები და ეს წყვეტს პასუხს. ლაბორატორიულ სერვერზე ერთჯერადი სატესტო პარტნიორი სხვა ობიექტია, ვიდრე კომპანიის საიტებს შორის ბოლო წერტილის იდენტიფიცირებელი გასაღები, თუმცა ბაიტები იდენტურად გამოიყურება.

შემოწმება მესამე: რისი გაუქმება შეგიძლიათ და რამდენად სწრაფად

მესამე შემოწმება ორ ნახევარს სრულად ჰყოფს. საჯარო გასაღები, რომელიც გამოქვეყნდა, შეიძლება შეიცვალოს თქვენი გრაფიკით. პირადი გასაღები, რომელიც გამოქვეყნდა, ვერ დაბრუნდება: თქვენი ასლის წაშლა არ ეხება უკვე აღებულ ასლებს, და ყოველი პარტნიორი, რომელიც მას ენდობოდა, ახლა ენდობა იმას, რაც გარეს მყოფს აქვს.

გაუქმება კონფიგურაციის ქმედებაა და არა კრიპტოგრაფიული. WireGuard გაუქმების სიას არ აწვდის, ამიტომ პარტნიორს ხსნით:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN სერტიფიკატებზე დაფუძნებული განლაგებები უქმებენ სერტიფიკატს და აქვეყნებენ CRL-ს, რომელსაც სერვერი ნამდვილად ამოწმებს crl-verify-ის მეშვეობით. ამ დირექტივის გარეშე გაუქმების სია მხოლოდ მორთულობაა. ორივე შემთხვევაში თანმიმდევრობა იგივეა: გასცით შემცვლელი, გაავრცელეთ ის მხარდაჭერილი არხით, შემდეგ დაასრულეთ ძველი იდენტობა.

შეცდომები, რომლებიც სამი შემოწმების ერთად შერევით მოდის

რეალური გაჟონვების უმეტესობა არ არის ადამიანის გადაწყვეტილება პირადი გასაღების გამოქვეყნებაზე. ეს არის მთელი პროფილის ფორუმში ჩასმა: WireGuard-ის .conf ფაილი PrivateKey ხაზის მქონე, .ovpn პაკეტი ჩაშენებული გასაღების ბლოკით, ან კლიენტის ფანჯრის ეკრანის სურათი, რომელიც შემთხვევით მოიცავს გასაღების ველს. საჯარო მნიშვნელობა ალბათ რიგში იყო; ის იმ ნაწილთან ერთად მოგზაურობდა, რომელიც არ იყო.

მხარდაჭერის პროცესები მეორე წყაროა. არცერთ ლეგიტიმურ შემოწმების ნაბიჯს არ სჭირდება თქვენი პირადი გასაღები, რადგან მეორე მხარე საჭიროს საჯარო ნახევრიდან იღებს. როცა ფორმა ან ადამიანი პირად მნიშვნელობას ითხოვს, სწორი პასუხია საჯარო მნიშვნელობა პლუს ლოკალური ბრძანება, რომელიც მას ქმნის.

ჟურნალები და ეკრანის სურათები იმავე კატეგორიას განეკუთვნებიან. დიაგნოსტიკური გამომავალი შეიძლება ატარებდეს გასაღების მასალას, სესიის იდენტიფიკატორებსა და შიდა მისამართებს, და ამ ყველაფრის გამოქვეყნება ერთ კითხვაზე პასუხისთვის ცვლის მცირე სიმარტივეს უფრო დიდ გამოვლენაზე.

პირადი მნიშვნელობის გაჟონვის შემდეგ დაასრულეთ იდენტობა

თუ პირადი მნიშვნელობა მაინც გავიდა, ჩათვალეთ ეს იდენტობა დასრულებულად. შექმენით ახალი წყვილი, დააყენეთ საჯარო ნახევარი იქ, სადაც პარტნიორები ელიან, წაშალეთ ძველი პარტნიორი ან გააუქმეთ ძველი სერტიფიკატი, და შეამოწმეთ ის ადგილები, სადაც გამოაქვეყნეთ. ვერ წაშლით ასლებს, რომლებსაც არ აკონტროლებთ, ამიტომ წაშლა მომავალს ეხება და არა წარსულს.

შემდეგ ჩამოწერეთ განაწილება: რომელი გასაღები რომელ მოწყობილობას ეკუთვნის, ვის აქვს ასლი, როგორ მიეწოდება შემცვლელი და ვინ შლის დასრულებულ პარტნიორს. სწორედ ეს ნაწილები ავიწყდებათ ხალხს და ისინი წყვეტენ, რამდენ ხანს დარჩება გაჟონვა სასარგებლო.