Siųskite VPN komplektą tinkamam gavėjui, o ne vien raktą

Partneris atsiunčia viešą raktą ir prašo šifruoto komplekto. Šifravimas veiks, ir jis gali pristatyti puikiai apsaugotą prisijungimo duomenį kam nors, kas neturėtų jo turėti. Slaptumas ir gavėjo tapatybė yra du skirtingi klausimai, į kuriuos atsako skirtingi mechanizmai. Atsakykite į abu, prieš komplektui paliekant jūsų mašiną.

Du skirtingi klausimai: slaptumas ir gavėjas

Šifravimas atsako, kas gali skaityti failą, darant prielaidą, kad raktas priklauso numatytam asmeniui. Parašas atsako, kas jį sukūrė, ir nieko nesako apie konfidencialumą, nes pasirašytas failas gali likti skaitomas. Piršto atspaudas identifikuoja raktą, ir tik nepriklausoma patikra susieja tą atspaudą su asmeniu ar vaidmeniu. Bet kurį iš jų laikyti kitu yra įprasta nesėkmė perduodant, kas atrodo atsargiai.

Failas taip pat turi gyvavimo ciklą: baigiantis galiojimui ryšys apriboja vėlesnį atsisiuntimą, bet neatšaukia jau atsisiųsto prisijungimo duomens.

Patikrinkite piršto atspaudą už kanalo ribų

Gaukite laukiamą piršto atspaudą kanalu, kuris nepriklauso nuo žinutės, prašančios jus šifruoti. Tada palyginkite jį su tuo, ką laiko vietinė raktų saugykla.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Piršto atspaudo eilutės yra lyginama reikšmė, o antroji komanda rodo tas pačias tapatybes su pilnais atspaudais antram žvilgsniui. Patvirtinkite visą eilutę skambučiu, pasirašytu sąrašu ar valdomu registracijos įrašu; pažįstamas rodomas vardas nieko neįrodo. Jei raktas atėjo tame pačiame pranešime, kuris prašė pristatymo, jo atspaudas nėra nepriklausomas įrodymas. Importuokite raktą tik po tos patikros ir šifruokite patvirtintam atspaudui, o ne vardui.

Perduokite tik tą medžiagą, kurios įrenginiui reikia

Sudarykite komplekto sąrašą prieš rinkdamiesi transportą. Viešos tinklų vartų nuostatos ir viešas pasitikėjimo sertifikatas yra konfigūracija, kliento privatus raktas yra paslaptis, o išdavėjo pasirašymo raktas yra visai kitas turtas. Kur registracijos modelis tai leidžia, laikykite privatų raktą įrenginyje ir perduokite tik tai, kas užbaigia registraciją. VPN klientui nereikia CA pasirašymo rakto serveriui patvirtinti, ir vienas bendras gyvas raktas tarp partnerių daro individualų atšaukimą neįmanomu.

Pasirašykite ir artefaktą, kai gavėjas turi aptikti pakeitimą, ir laikykite abu veiksmus atskirai instrukcijose. Laikykite kelių failų komplektą viename archyve, kad gavėjas negalėtų įdiegti pusės konfigūracijos ir tada pranešti, kad vartai atmeta tapatybę.

Uždarykite gyvavimo ciklą po pristatymo

Įrašykite gavėją, įrenginį, konfigūracijos reviziją ir atšaukimo kelią, bet niekada paties privataus vertės. Patvirtinkite, kad numatytas asmuo gali užsiregistruoti ir kad kita tapatybė atmetama. Jei komplektas patenka į netinkamas rankas, pakeiskite arba atšaukite priimtą paslaptį per jos išdavėją, nes priedo ištrynimas nepanaikina nieko, kas jau atsisiųsta. Slaptažodžiu apsaugotas archyvas, kurio slaptažodis keliauja ta pačia kalba, taip pat nėra nepriklausoma patikra.

Perdavimas baigtas, kai tinkama tapatybė yra aktyvi tinkamame įrenginyje, o ne tada, kai šifruotas failas sėkmingai įkeliamas.