თქვენი VPN პროფილი კერძო გასაღებსაც შეიცავს, არა მხოლოდ პარამეტრებს

ყველა, ვინც VPN პროფილს ფორუმის თემაში ასვამს, იმავე რწმენიდან იწყებს. ფაილი მხოლოდ სერვერის მისამართს და რამდენიმე პარამეტრს შეიცავს, ამიტომ მისი გაზიარება ტელეფონის ნომრის გაზიარებას ჰგავს. შემდეგ ვიღაც კითხულობს მას და მეოთხე სტრიქონზე დაშიფრვის გარეშე დარჩენილ კერძო გასაღებს პოულობს.

პროფილი გვირაბის შესახებ დოკუმენტაცია არ არის. ეს გვირაბის იდენტობაა, ჩამოწერილი.

ფაილში არსებულ ობიექტებს საიდუმლოების ერთი დონე არ აქვთ

საჯარო CA სერთიფიკატი მოგზაურობისთვისაა განკუთვნილი. კლიენტის კერძო გასაღები არა. როცა ორივე ერთ ფაილში ჩნდება, უვნებელი მთელ დანართს უსაფრთხოდ აჩენს. ესაა ხაფანგი.

OpenVPN ამას დიზაინით აუარესებს. ის საშუალებას აძლევს სერთიფიკატებს, გასაღებებსა და ავთენტიფიკაციის მასალას პირდაპირ ჩაშენდეს. ეს მოხერხებულია განთავსებისთვის და დამღუპველი გაზიარებისთვის. ფაილი, რომელიც წაკითხვადი სერთიფიკატის ბლოკით იწყება, კერძო ნახევრამდე გრძელდება.

WireGuard უფრო პირდაპირია. ინტერფეისის ნაწილი კერძო გასაღებს ატარებს, და თითოეულ peer-ს შეუძლია დამატებით წინასწარ გაზიარებული გასაღებიც ატაროს. არ არსებობს გაუგებრობა იმაში, რომელი სტრიქონებია მნიშვნელოვანი. თითქმის ყველა სტრიქონია.

ეკრანის სურათი იგივე გაჟონვაა სხვა ფორმატში

კონფიგურაციის QR კოდად დაშიფვრა მას წინასწარ გადახედვად არ აქცევს. კოდი იგივე ბაიტებს ატარებს, და ოთახში არსებულ ნებისმიერ ტელეფონის კამერას შეუძლია მისი გაშიფვრა. იგივე ეხება კლიენტის კონფიგურაციის ფანჯრის ეკრანის სურათს, სადაც გასაღები კუთხეში იკითხება.

ავთენტიფიკაციის ფაილები და მითითებული გასაღების ბილიკები იმავე აუდიტს ეკუთვნის. გარე ფაილზე მიმთითებელი პროფილი ავტომატურად არ არის უფრო უსაფრთხო, რადგან ბილიკი შეიძლება იქ მიგვიყვანოს, სადაც მკითხველი მივა. ავთენტიფიკაციის ფაილში ტოკენი პაროლივით გამოსადეგია და იშვიათად გავს პაროლს.

გაგზავნეთ შეცდომის ტექსტი და არა გასაღები

დიაგნოსტიკას სჭირდება შეცდომის ტექსტი, კლიენტის ვერსია და ცდილი პარამეტრების სახელები. გასაღები არ სჭირდება. დაწერეთ კითხვა ამ სამი რამით და შეცვალეთ ყოველი საიდუმლო და ყოველი ზედმეტი ქსელური იდენტიფიკატორი, სანამ ფაილი თქვენს მანქანას დატოვებს.

OpenVPN-ის სახელმძღვანელოს ჩაშენებული ფაილების განყოფილება სასარგებლო რუკაა, თუ სად არიან ეს ობიექტები. ის ასევე შეგახსენებთ, რამდენის შენახვა შეუძლია ერთ პროფილს.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

შემდეგ წაიკითხეთ საბოლოო დანართი, ნაცვლად იმისა, რომ რედაქტირების შესახებ თქვენს მეხსიერებას დაეყრდნოთ. გასაღებები იმალება მოგვიანებით ბლოკებში, დაურედაქტირებელ კომენტარში და სტრიქონში, რომელიც სტრუქტურულად მიგაჩნიათ.

გამჟღავნების შემდეგ, როტაცია ერთადერთი შეკეთებაა

პოსტის წაშლა არაფერს აუქმებს. ვინც ფაილი მიიღო, ჯერ კიდევ აქვს მოქმედი სერთიფიკატი, ამიტომ გამომცემელმა უნდა გააუქმოს ან შეცვალოს ის სერვისის საკუთარი პროცესით. ლოკალური ასლის წაშლა შორეულ მხარეს არაფერს ცვლის.

შეინახეთ სამუშაო პროფილები დაცული მეთოდით და განზრახ წაშალეთ მოძველებული იმპორტირებული ჩანაწერები, ნაცვლად იმისა, რომ ჩამოტვირთვების საქაღალდეში სამი ასლი დატოვოთ. პროფილი, რომელსაც აღარ იყენებთ, ჯერ კიდევ სერთიფიკატია, სანამ არ გაუქმდება.

ჩვევა, რომლის ჩამოყალიბებაც ღირს, პატარაა. სანამ რომელიმე პროფილი დატოვებს მანქანას, იკითხეთ, კიდევ რა არის მასში მისამართის გარდა, და უპასუხეთ ფაილის წაკითხვით და არა გახსენებით.