Kann een en VPN-ëffentleche Schlëssel deelen? Prüft dräi Saachen

Dir kënnt Ären ëffentleche VPN-Schlëssel engem Peer, engem Provider oder engem Forum ginn, an den Tunnel funktionnéiert weider. Den private Schlëssel kënnt Dir awer net weiderginn, och net dem Supportpersonal, ouni d'Identitéit ofzeginn, déi dee Schlëssel beweist. D'Entscheedung bleift selten sou kloer, well Leit sech vertosen, déi eng Halschent vum Paar se ukucken, a well een Deployementer deen ëffentleche Wäert als en Numm behandelen. Dräi Prüfungen entscheeden et: wéi eng Halschent Dir hutt, un wat den Deployement se bënnt, a wat en Ersatz käscht.

Prüfung eng: wéi eng Halschent vum Paar ass an Ärer Zwëschenoflaa

Asymmetresch Schlësselen kommen a Puer, an d'Richtung vun der Ofleedung ass de ganze Punkt. A WireGuard ass den private Schlëssel 32 zoufälleg Byte an den ëffentleche gëtt doraus berechent; an déi aner Richtung geet et net. wg genkey schreift de private Wäert, wg pubkey leet den ëffentleche of, an nëmmen den zweete gehéiert an eng Noriicht un e Peer.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

D'Welt vun den Zertifikaten benotzt déiselwecht Opdeelung mat méi beweeglechen Deeler. E Serverzertifikat dréit en ëffentleche Schlëssel plus Nimm, an et gëtt vun engem private CA-Schlëssel ënnerschriwwen, dee CA ni verléisst. E Client, deen dee Server verifizéiert, brauch d'CA-Zertifikat, dat ëffentlech ass, a kann mam private Ënnerschrëftsschlëssel vun der CA näischt ufänken.

Wann Dir net sécher sidd, wéi ee Wäert Dir hutt, sicht no der Markéierung an net no dem Dateinumm. E PEM-Block, deen mat -----BEGIN PRIVATE KEY----- ufänkt, oder déi méi al BEGIN RSA PRIVATE KEY Form, ass déi geheim Halschent. E Wäert, deen Dir ouni déi Markéierung ka paste kënnt, ass en Kandidat fir ze deelen, ënner deenen nächsten zwou Prüfungen.

Prüfung zwee: un wat den Deployement dee ëffentleche Wäert bënnt

Kryptografesch Sécherheet an Anonymitéit sinn ënnerschiddlech Eegenschaften. En ëffentleche Peer-Schlëssel a WireGuard ass eng stabil Identifizéierung bannent dem Deployement: d'Serverkonfiguratioun zielt hien op, den Handshake nennt hien, an en Administrateur, deen d'Logs liest, gesäit dee selwechte String all Kéier, wann dee Peer sech verbënnt. Post Dir de Schlëssel nieft enger Fro zu Ärem Setup, huet Dir dee String mat allem anere am Post verbonnen.

Zertifikate leeën d'Identitéit duerch Design aus. Subject a subject alternative name si liesbar, a fir ëffentlech vertraute TLS-Zertifikate gëtt d'Zertifikat selwer an Certificate Transparency-Logs publizéiert, déi duerchsichbar sinn. Näischt dovun deckt ee private Schlëssel op, awer alles dovun deckt eng Relatioun op.

Hei ënnerscheede sech d'Deployementer, an dat entscheet d'Äntwert. En ewechgeheiene Testpeer op engem Lab-Server ass en anert Objet wéi de Schlëssel, deen den Endpunkt tëscht de Säite vun enger Firma identifizéiert, och wann d'Byten identesch ausgesinn.

Prüfung dräi: wat Dir zréckzéie kënnt, a wéi séier

Déi drëtt Prüfung trennt déi zwou Halschenten komplett. En ëffentleche Schlëssel, dee publizéiert gouf, kann no Ärem Plang ersat ginn. En private Schlëssel, dee publizéiert gouf, kann net zréckgeholl ginn: Är Kopie läschen hëlt déi schonn gehollte Kopien net ewech, an all Peer, deen him vertraut huet, vertraut elo eppes, wat eng friem Persoun hält.

Zréckzéien ass eng Konfiguratiounsaktioun, keng kryptografesch. WireGuard liwwert keng Zréckzuchslëscht, also huelt Dir de Peer ewech:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN Deployementer, déi op Zertifikater opbauen, zréckzéien d'Zertifikat a publizéieren eng CRL, déi den Server tatsächlech iwwer crl-verify prüft. Ouni där Direktiv ass d'Zréckzuchslëscht just Dekoratioun. Op béide Weeër ass d'Reiefolleg déiselwecht: en Ersatz ausstellen, en iwwer dee ënnerstëtzte Kanal verdeelen, an dann déi al Identitéit pensionéieren.

D'Feeler, déi doraus entstinn, datt een déi dräi Prüfungen zesummegeheien

Déi meescht reell Lechen sinn net eng Persoun, déi decidéiert, en private Schlëssel ze publizéieren. Et ass e ganzt Profil, dat an e Forum gepost gëtt: eng WireGuard .conf mat enger PrivateKey Zeil, engem .ovpn Bundle mat engem inline Schlësselblock, oder e Screenshot vun engem Client-Fënster, deen zoufälleg d'Schlësselfeld enthält. Den ëffentleche Wäert war warscheinlech an der Rei; en ass mat dem Deel gereest, deen et net war.

Support-Workflows sinn déi zweet Quell. Kee legitime Verifikatiounsschrëtt brauch Äre private Schlëssel, well déi aner Säit dat Noutwennegs aus der ëffentlecher Halschent ofleet. Wann e Formulaire oder eng Persoun de private Wäert freet, ass déi richteg Äntwert den ëffentleche Wäert plus de lokale Befehl, deen en erstellt.

Logs a Screenshotten gehéieren an déiselwecht Kategorie. Diagnosesausgab kann Schlësselmaterial, Sessiounsidentifizéierungen an intern Adressen droen, an alles dovun ze posten, fir eng Fro beäntwert ze kréien, tauscht e klengt Bequemlechkeet géint eng méi grouss Ausgesetztheit.

Nodeems e private Wäert geläscht ass, pensionéiert d'Identitéit

Wann e private Wäert tatsächlech erauskoum, behandelt déi Identitéit als pensionéiert. Generéiert en neit Puer, installéiert déi ëffentlech Halschent do, wou d'Peers se erwaarden, huelt dee ale Peer ewech oder zréck huet dat aalt Zertifikat, a kontrolléiert d'Plazen, wou Dir et publizéiert hutt. Dir kënnt Kopien net läschen, déi Dir net kontrolléiert, also geet et beim Ewechhuelen ëm d'Zukunft, net ëm d'Vergaangenheet.

Dann schreift d'Verdeelung op: wéi ee Schlëssel zu wéi engem Apparat gehéiert, wien eng Kopie hält, wéi en Ersatz geliwwert gëtt, a wien e pensionéierte Peer ewech hëlt. Dat sinn d'Deeler, déi d'Leit vergiessen, an se entscheeden, wéi laang eng Lech nëtzlech bleift.