VPN ашық кілтін бөлісуге бола ма? Үш нәрсені тексеріңіз

VPN ашық кілтіңізді серіктеске, провайдерге немесе форумға бере аласыз, туннель жұмысын жалғастырады. Ал жабық кілтті тіпті қолдау қызметіне де тапсыра алмайсыз, өйткені онымен бірге сол кілт дәлелдейтін сәйкестікті тапсырасыз. Шешім сирек осынша таза қалады, өйткені адамдар жұптың қай жартысына қарап отырғанын шатастырады және кейбір орналастырулар ашық мәнді атау ретінде қарастырады. Мұны үш тексеру шешеді: қай жарты сізде, орналастыру оны немен байланыстырады және ауыстыру қанша тұрады.

Бірінші тексеру: жұптың қай жартысы алмасу буферіңізде

Асимметриялық кілттер жұп болып келеді, ал туындау бағыты бүкіл мәселе. WireGuard-та жабық кілт 32 кездейсоқ байт, ал ашық кілт одан есептеледі; кері бағытта мүмкін емес. wg genkey жабық мәнді жазады, wg pubkey ашық мәнді шығарады, және тек екіншісі ғана серіктеске жіберілетін хабарламаға жарайды.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Сертификаттар әлемі сол бөліністі көбірек қозғалатын бөлшектермен қолданады. Сервер сертификаты ашық кілт пен атауларды алып жүреді және CA-дан ешқашан шықпайтын CA жабық кілтімен қол қойылады. Сол серверді тексеретін клиентке ашық болып табылатын CA сертификаты қажет, ал CA-ның жабық қолтаңба кілтіне оның қажеті жоқ.

Қай мәнді ұстап отырғаныңызға сенімді болмасаңыз, файл атын емес, белгіні іздеңіз. Мына жолдан басталатын PEM блогы, -----BEGIN PRIVATE KEY-----, немесе ескірек BEGIN RSA PRIVATE KEY пішімі жасырын жарты. Осы белгісіз қоюға болатын мән келесі екі тексеруге қарай бөлісуге үміткер.

Екінші тексеру: орналастыру сол ашық мәнді немен байланыстырады

Криптографиялық қауіпсіздік пен анонимдік әртүрлі қасиеттер. WireGuard серіктесінің ашық кілті орналастыру ішіндегі тұрақты идентификатор: сервер конфигурациясы оны тізімдейді, қол алысу оны атайды, журналдарды оқитын әкімші сол серіктес қосылған сайын бірдей жолды көреді. Кілтті өз конфигурацияңыз туралы сұрақтың қасына жарияласаңыз, сол жолды жазбадағы қалғанның бәрімен байланыстырдыңыз.

Сертификаттар сәйкестікті өз жобасы бойынша ашады. Subject және subject alternative name оқылады, ал жұртшылық сенетін TLS сертификаттарында сертификаттың өзі іздеуге болатын Certificate Transparency журналдарына жарияланады. Мұның ешқайсысы жабық кілтті ашпайды, бірақ бәрі қатынасты ашады.

Міне осында орналастырулар ерекшеленеді және бұл жауапты шешеді. Зертханалық сервердегі бір реттік сынақ серіктесі компанияның сайттар арасындағы шеткі нүктесін идентификациялайтын кілттен өзге нысан, байттар бірдей көрінсе де.

Үшінші тексеру: нені қайтарып ала аласыз және қаншалықты жылдам

Үшінші тексеру екі жартыны толық ажыратады. Жарияланған ашық кілтті өз кестеңіз бойынша ауыстыруға болады. Жарияланған жабық кілтті қайтарып алу мүмкін емес: өз көшірмеңізді жою қазірдің өзінде алынған көшірмелерге тимейді, ал оған сенген әрбір серіктес енді бөгде адамдағы нәрсеге сенеді.

Қайтарып алу конфигурация әрекеті, криптографиялық емес. WireGuard қайтарып алу тізімін ұсынбайды, сондықтан серіктесті жоясыз:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN сертификаттарға негізделген орналастырулар сертификатты қайтарып алады және сервер шынымен crl-verify арқылы тексеретін CRL жариялайды. Сол директивасыз қайтарып алу тізімі тек әшекей. Екі жағдайда да реттілік бірдей: ауыстырғыш шығарыңыз, оны қолдау көрсетілетін арна арқылы таратыңыз, содан кейін ескі сәйкестікті зейнетке шығарыңыз.

Үш тексеруді біріктіруден туындайтын қателер

Нақты ағып кетулердің көбі адамның жабық кілтті жариялау туралы шешімі емес. Олар форумға толық профильді қою: WireGuard .conf файлы PrivateKey жолымен, .ovpn бумасы ішіне кірістірілген кілт блогымен, немесе клиент терезесінің кілт өрісін кездейсоқ қамтитын скриншоты. Ашық мән, бәлкім, дұрыс болды; ол дұрыс емес бөлікпен бірге жүрді.

Қолдау жұмыс ағындары екінші көз. Ешбір заңды тексеру қадамы сіздің жабық кілтіңізді қажет етпейді, өйткені қарсы тарап қажетті нәрсені ашық жартыдан шығарады. Форма немесе адам жабық мәнді сұраса, дұрыс жауап ашық мән және оны өндіретін жергілікті пәрмен.

Журналдар мен скриншоттар да сол санатқа жатады. Диагностикалық шығыс кілт материалын, сессия идентификаторларын және ішкі мекенжайларды алып жүруі мүмкін, және бір сұраққа жауап алу үшін осының бәрін жариялау шағын ыңғайлылықты үлкенірек әшкерелеуге айырбастайды.

Жабық мән ағып кеткеннен кейін сәйкестікті зейнетке шығарыңыз

Егер жабық мән шынымен шығып кетсе, сол сәйкестікті зейнеттегі деп есептеңіз. Жаңа жұп жасаңыз, ашық жартыны серіктестер күтетін жерге орнатыңыз, ескі серіктесті жойыңыз немесе ескі сертификатты қайтарып алыңыз, және оны жариялаған жерлерді тексеріңіз. Өзіңіз бақыламайтын көшірмелерді жоя алмайсыз, сондықтан жою болашақ туралы, өткен туралы емес.

Содан кейін таратуды жазып қойыңыз: қай кілт қай құрылғыға тиесілі, кімде көшірме бар, ауыстырғыш қалай жеткізіледі және зейнеттегі серіктесті кім жояды. Адамдар ұмытып кететін бөліктер осылар, және олар ағып кетудің қанша уақыт пайдалы болып қалатынын шешеді.