VPN ачык ачкычын бөлүшсө болобу? Үч нерсени текшериңиз

VPN ачык ачкычыңызды шерикке, провайдерге же форумга бере аласыз, туннель иштеп турат. Ал эми жабык ачкычты, колдоо кызматкерлерине да, ал ачкыч далилдеген инсандыкты өткөрбөй туруп бере албайсыз. Чечим сейрек ушунча таза бойдон калат, анткени адамдар жуптун кайсы жарымын карап жатканын чаташтырат жана кээ бир жайгаштыруулар ачык маанини ат катары кабыл алат. Муну үч текшерүү чечет: кайсы жарым сизде, жайгаштыруу аны эмнеге байланыштырат жана алмаштыруу канчага турат.

Биринчи текшерүү: жуптун кайсы жарымы алмашуу буфериңизде

Асимметриялык ачкычтар жуп болуп келет, жана туунду алуу багыты бүткүл маселе. WireGuard-да жабык ачкыч 32 туш келди байт, ачык ачкыч ошондон эсептелет; тескери багытта мүмкүн эмес. wg genkey жабык маанини жазат, wg pubkey ачык маанини чыгарат, жана шерикке жөнөтүлүүчү билдирүүгө экинчиси гана кирет.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Сертификаттар дүйнөсү ошол эле бөлүнүштү көбүрөөк кыймылдуу бөлүктөр менен колдонот. Сервер сертификаты ачык ачкыч менен аттарды алып жүрөт жана CAдан эч качан чыкпаган CA жабык ачкычы менен кол коюлат. Ошол серверди текшерүүчү клиентке ачык болгон CA сертификаты керек, ал эми CAнын жабык кол коюу ачкычына анын эч кандай кереги жок.

Кайсы маанини кармап турганыңызга ишенимдүү болбосоңуз, файл атын эмес, белгини издеңиз. Төмөнкүдөн башталган PEM блогу, -----BEGIN PRIVATE KEY-----, же эскирээк BEGIN RSA PRIVATE KEY формасы жашыруун жарым. Ошол белгисиз чаптай алган маани бөлүшүүгө талапкер, кийинки эки текшерүүгө жараша.

Экинчи текшерүү: жайгаштыруу ошол ачык мааниге эмнени байланыштырат

Криптографиялык коопсуздук менен анонимдүүлүк ар башка касиеттер. WireGuard шеригинин ачык ачкычы жайгаштыруунун ичинде туруктуу идентификатор: сервер конфигурациясы аны тизмелейт, кол алышуу аны атайт, журналдарды окуган администратор ошол шерик кошулган сайын эле ошол эле сапты көрөт. Ачкычты өз жөндөөңүз тууралуу суроонун жанына жарыяласаңыз, ошол сапты посттогу калган нерселердин баары менен байланыштыргансыз.

Сертификаттар инсандыкты өз долбоору боюнча ачып берет. Subject жана subject alternative name окулат, ал эми коомчулук ишенген TLS сертификаттарында сертификаттын өзү издөөгө боло турган Certificate Transparency журналдарына жарыяланат. Мунун эч бири жабык ачкычты ачпайт, бирок баары мамилени ачат.

Мына ушунда жайгаштыруулар айырмаланат жана бул жоопту чечет. Лабораториялык сервердеги бир жолку сыноо шериги компаниянын сайттар аралык чекиттик учурун идентификациялаган ачкычтан башка объект, байттар бирдей көрүнсө да.

Үчүнчү текшерүү: эмнени жокко чыгара аласыз жана канчалык тез

Үчүнчү текшерүү эки жарымды толук ажыратат. Жарыяланган ачык ачкычты өз графигиңиз боюнча алмаштырса болот. Жарыяланган жабык ачкычты кайтарып алуу мүмкүн эмес: өз көчүрмөңүздү жок кылуу мурун алынган көчүрмөлөргө тийбейт, жана ага ишенген ар бир шерик эми тышкы адамда болгон нерсеге ишенет.

Жокко чыгаруу конфигурациялык аракет, криптографиялык эмес. WireGuard жокко чыгаруу тизмесин бербейт, ошондуктан шерикти алып саласыз:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN сертификаттарга негизделген жайгаштыруулар сертификатты жокко чыгарып, сервер чын эле crl-verify аркылуу текшерген CRLди жарыялайт. Ошол директивасыз жокко чыгаруу тизмеси жөн гана кооздук. Эки учурда тең ырааттуулук бирдей: алмаштыргыч чыгарыңыз, аны колдоого алынган канал аркылуу таратыңыз, анан эски инсандыкты бүтүрүңүз.

Үч текшерүүнү бириктирүүдөн келип чыккан каталар

Чыныгы агымдардын көбү адамдын жабык ачкычты жарыялоо чечими эмес. Алар форумга бүтүндөй профилди чаптоо: WireGuard .conf файлы PrivateKey сабы менен, .ovpn топтомочосу ичине киргизилген ачкыч блогу менен, же клиент терезесинин ачкыч талаасын кокустан камтыган скриншоту. Ачык маани, балким, жакшы болгон; ал жаман болгон бөлүк менен бирге жүргөн.

Колдоо агымдары экинчи булак. Эч бир мыйзамдуу текшерүү кадамы сиздин жабык ачкычыңызды талап кылбайт, анткени экинчи тарап керектүүсүн ачык жарымдан алат. Форма же адам жабык маанини сураганда, туура жооп ачык маани плюс аны өндүргөн жергиликтүү буйрук.

Журналдар менен скриншоттор да ошол эле категорияга кирет. Диагностикалык чыгарылыш ачкыч материалын, сессия идентификаторлорун жана ички даректи камтышы мүмкүн, жана бир суроого жооп алуу үчүн ошонун баарын жарыялоо кичине ыңгайлуулукту чоңураак ачыктыкка алмаштырат.

Жабык маани агып кеткенден кийин инсандыкты бүтүрүңүз

Эгер жабык маани чын эле чыгып кетсе, ошол инсандыкты бүткөн деп эсептеңиз. Жаңы жуп жаратыңыз, ачык жарымын шериктер күткөн жерге орнотуңуз, эски шерикти алып салыңыз же эски сертификатты жокко чыгарыңыз, жана аны жарыялаган жерлерди текшериңиз. Өзүңүз көзөмөлдөбөгөн көчүрмөлөрдү жок кыла албайсыз, ошондуктан алып салуу келечек тууралуу, өткөн тууралуу эмес.

Анан таратууну жазып коюңуз: кайсы ачкыч кайсы түзмөккө таандык, кимде көчүрмө бар, алмаштыргыч кантип жеткирилет жана бүткөн шерикти ким алып салат. Адамдар унутуп калган бөлүктөр ушулар, жана алар агымдын канча убакыт пайдалуу болуп каларын чечет.