VPN을 디버그하는 데 개인 키가 필요하지 않습니다

그 요청은 합리적으로 들립니다: 구성을 보내면 지원팀이 무엇이 잘못됐는지 볼 수 있다는 것이죠. 개인 키가 티켓 시스템과 채팅 로그에 남는 경로도 바로 이것입니다. 구성은 진단이 아니라 신원이며, 터널을 디버그하는 사람은 당신이 누구인지 증명하는 절반을 거의 필요로 하지 않습니다. 상태 출력은 같은 질문에 그 위험 없이 답합니다.

구성만이 유일한 완전한 뷰라는 것은 신화입니다. 그것은 가장 안전하지 않은 완전한 뷰입니다.

신화: 지원팀에 구성이 필요하다

지원팀에 필요한 것은 오류 텍스트, 클라이언트와 서버 버전, 엔드포인트, 핸드셰이크 상태, 이벤트의 순서입니다. 그 모두가 상태입니다. 구성은 키를 더하고, 키는 다른 사람이 당신이 되게 하는 수단입니다. 라우팅 문제를 고치려고 구성을 넘기는 것은 지연된 항공편을 설명하려고 여권을 우편으로 보내는 것과 같습니다. 요청은 대개 당신의 네트워크를 본 적 없는 사람이 가장 첨부하기 쉬운 것을 요구하는 형태로 옵니다.

질문에 답하는 가장 작은 출력을 보내세요, 찾을 수 있는 가장 큰 것이 아닙니다.

상태가 실제로 보여 주는 것

WireGuard의 wg show는 인터페이스, 피어, 허용된 IP, 엔드포인트, 최근 핸드셰이크, 전송 카운터를 출력하며 개인 키는 출력하지 않습니다. OpenVPN의 상태와 로그 출력은 내장 키 블록 없이 연결 상태와 오류를 제공합니다. 둘 다 핸드셰이크가 완료되는지, 카운터가 움직이는지, 어느 피어가 쓰이는지 보기에 충분하며, wg 설명서가 이를 상태 보기로 문서화합니다.

도우미가 그 출력보다 먼저 구성을 요구하면, 상태가 보여 주지 않는 것을 구성이 무엇을 보여 줄지 물어보세요.

각 형식에서 비밀이 숨는 곳

WireGuard 구성 파일에는 PrivateKey 줄이 들어 있고, 공개 피어 키와 엔드포인트 메타데이터는 그것이 없어도 여전히 식별 정보가 됩니다. OpenVPN 프로필은 <key>와 <tls-crypt> 블록을 내장하거나 프로필과 함께 이동하는 별도 파일을 가리킬 수 있습니다. 클라이언트의 지원 아카이브에는 로그 창이 보여 주는 것보다 훨씬 많은 내용이 들어 있을 수 있으며, 존재를 잊고 있던 캐시된 프로필도 포함됩니다. 스크린샷도 흔한 유출 경로인데, 터미널 창은 공유하려던 명령보다 더 많은 것을 보여 주기 때문입니다.

내보내기 문서를 읽은 다음 파일을 여세요. 진단이라고 표시된 출력이 반드시 무언가에서 정리된 것은 아닙니다.

가리고 나서 검토된 사본을 보내세요

원본은 보호된 곳에 두고 검토된 사본을 보내세요. 실제 값이 필요 없을 때는 엔드포인트와 공개 키를 안정적인 자리 표시자로 바꾸고, 개인 키 블록은 일부만 가리는 대신 완전히 제거하세요. base64 블록을 일부만 가리는 것은 여전히 유출된 키입니다. 아카이브는 같은 프로필의 두 번째 사본을 담고 있는 경우가 많으므로, 보내기 전에 파일을 한 번 더 읽으세요.

검증된 채널을 쓰고, 무엇이든 첨부하기 전에 누가 받는지 확인하세요.

키가 이미 유출되었다면

메시지를 삭제해도 다른 사람이 이미 가진 사본은 되돌아오지 않습니다. 운영자의 폐기와 교체 절차를 통해 신원을 회전하고, 이전 키는 전송된 순간부터 침해된 것으로 취급하세요. 대부분의 운영자는 노출이 보고되면 클라이언트 신원을 빠르게 교체하며, 사람들이 미루는 부분은 바로 그 보고입니다.

같은 규칙이 티켓, 스크린샷, 채팅 스레드에 붙여 넣은 키에도 적용됩니다. 고치는 것은 회전이고, 삭제는 정리에 불과합니다.