Jūsų VPN profilyje yra privatus raktas, o ne tik nustatymai

Serverių adresai stovi šalia privačių raktų, įterptų paslapčių ir žetonų. Prieš įklijuodami profilį į pagalbos giją, žinokite, kurios eilutės yra tapatybė.

Kiekvienas, kuris įklijuoja VPN profilį į forumo giją, pradeda nuo to paties įsitikinimo. Failas turi tik serverio adresą ir keletą parinkčių, todėl dalytis juo atrodo kaip dalytis telefono numeriu. Tada kas nors jį perskaito ir ketvirtoje eilutėje randa neužšifruotą privatų raktą.

Profilis nėra dokumentacija apie tunelį. Tai tunelio tapatybė, išrašyta.

Failo objektai neturi vienodo slaptumo lygio

Viešas CA sertifikatas skirtas keliauti. Kliento privatus raktas – ne. Kai abu atsiranda tame pačiame faile, nekenksmingasis leidžia visam priedui atrodyti saugiam. Tai ir yra spąstai.

OpenVPN dėl savo dizaino tai dar labiau blogina. Jis leidžia sertifikatus, raktus ir autentifikavimo medžiagą įterpti tiesiogiai. Tai patogu diegiant ir pražūtinga bendrinant. Failas, prasidedantis įskaitomu sertifikato bloku, tęsiasi į privačią pusę.

WireGuard yra tiesesnis. Sąsajos skiltis neša privatų raktą, o kiekvienas peer gali papildomai nešti iš anksto bendrą raktą. Nėra jokio neaiškumo, kurios eilutės svarbios. Beveik kiekviena eilutė svarbi.

Ekrano kopija yra ta pati nuotėka kitame formate

Konfigūracijos kodavimas QR kodu nepavers jos peržiūra. Kodas neša tuos pačius baitus, ir bet kuri telefono kamera kambaryje gali jį iššifruoti. Tas pats galioja kliento konfigūracijos lango ekrano kopijai, kur raktas įskaitomas kampe.

Autentifikavimo failai ir nurodyti raktų keliai priklauso tam pačiam auditui. Profilis, nukreiptas į išorinį failą, nėra automatiškai saugesnis, nes kelias gali vesti ten, kur skaitytojas gali patekti. Žetonas autentifikavimo faile yra toks pat naudingas kaip slaptažodis, ir retai taip atrodo.

Siųskite klaidos tekstą, o ne raktą

Diagnozei reikia klaidos teksto, kliento versijos ir išbandytų parinkčių pavadinimų. Jai nereikia rakto. Parašykite klausimą su šiais trimis dalykais ir pakeiskite kiekvieną paslaptį bei kiekvieną nereikalingą tinklo identifikatorių, prieš failui paliekant jūsų mašiną.

OpenVPN vadovo skiltis apie įterptus failus yra naudingas žemėlapis, kur yra tie objektai. Ji taip pat primena, kiek jų gali tilpti vienas profilis.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Tada perskaitykite galutinį priedą, o ne pasikliaukite redagavimo atmintimi. Raktai slepiasi vėlesniuose blokuose, neužmaskuotame komentare ir eilutėje, kurią nusprendėte esant struktūrine.

Po atskleidimo rotacija yra vienintelis taisymas

Įrašo ištrynimas nieko neatšaukia. Gavusysis vis dar turi veikiantį prisijungimo duomenį, todėl išdavėjas turi atšaukti arba pakeisti jį paslaugos pačios procedūra. Vietinės kopijos pašalinimas nieko nekeičia tolimajame gale.

Laikykite veikiančius profilius apsaugotu būdu, o pasenusius importuotus įrašus sąmoningai pašalinkite, o ne palikite tris kopijas atsisiuntimų aplanke. Profilis, kurio nebenaudojate, vis dar yra prisijungimo duomuo, kol jis neatšauktas.

Įprotis, kurį verta ugdyti, yra mažas. Prieš bet kuriam profiliui paliekant mašiną, paklauskite, kas dar jame yra be adreso, ir atsakykite skaitydami failą, o ne jį prisimindami.

Susiję straipsniai