Vai ar VPN publisko atslēgu drīkst dalīties? Pārbaudiet trīs lietas

Jūs varat nodot savu VPN publisko atslēgu kolēģim, pakalpojumu sniedzējam vai forumam, un tunelis turpinās darboties. Privāto atslēgu gan nevarat nodot, pat atbalsta dienestam, nenododot identitāti, ko šī atslēga pierāda. Lēmums reti paliek tik vienkāršs, jo cilvēki jauc, kuru pāra pusi viņi skatās, un jo daži izvietojumi publisko vērtību uzskata par vārdu. Trīs pārbaudes to atrisina: kura puse jums ir, kam izvietojums to piesaista un cik izmaksā nomaiņa.

Pirmā pārbaude: kura pāra puse ir jūsu starpliktuvē

Asimetriskās atslēgas nāk pa pāriem, un atvasināšanas virziens ir visa būtība. WireGuard privātā atslēga ir 32 nejauši baiti, un publiskā tiek aprēķināta no tās; pretējā virzienā nav iespējams. wg genkey ieraksta privāto vērtību, wg pubkey atvasina publisko, un tikai otrais nonāk ziņojumā kolēģim.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Sertifikātu pasaule izmanto to pašu dalījumu ar vairāk kustīgām daļām. Servera sertifikāts nes publisko atslēgu un vārdus, un to paraksta CA privātā atslēga, kas nekad nepamet CA. Klientam, kas pārbauda šo serveri, vajag CA sertifikātu, kas ir publisks, un tas nemaz neizmanto CA privāto parakstīšanas atslēgu.

Ja neesat pārliecināts, kuru vērtību turat, meklējiet marķieri, nevis faila nosaukumu. PEM bloks, kas sākas ar -----BEGIN PRIVATE KEY-----, vai vecākā BEGIN RSA PRIVATE KEY forma, ir slepenā puse. Vērtība, ko varat ielīmēt bez šī marķiera, ir dalīšanās kandidāts, ņemot vērā nākamās divas pārbaudes.

Otrā pārbaude: kam izvietojums piesaista šo publisko vērtību

Kriptogrāfiskā drošība un anonimitāte ir dažādas īpašības. WireGuard kolēģa publiskā atslēga ir stabils identifikators izvietojuma ietvaros: servera konfigurācija to uzskaita, rokasspiediens to nosauc, un administrators, kas lasa žurnālus, katru reizi, kad šis kolēģis pieslēdzas, redz to pašu virkni. Publicējot atslēgu blakus jautājumam par savu iestatījumu, jūs šo virkni esat saistījis ar visu pārējo ierakstā.

Sertifikāti pēc savas uzbūves atklāj identitāti. Subject un subject alternative name ir nolasāmi, un publiski uzticamiem TLS sertifikātiem pats sertifikāts tiek publicēts Certificate Transparency žurnālos, kas ir meklējami. Nekas no tā neatklāj privāto atslēgu, un viss no tā atklāj attiecības.

Šeit izvietojumi atšķiras, un tas nosaka atbildi. Vienreizējs testa kolēģis laboratorijas serverī ir cits objekts nekā atslēga, kas identificē uzņēmuma starpobjektu galapunktu, lai gan baiti izskatās identiski.

Trešā pārbaude: ko varat atsaukt un cik ātri

Trešā pārbaude pilnībā atdala abas puses. Publicētu publisko atslēgu var nomainīt pēc jūsu grafika. Publicētu privāto atslēgu nevar atsaukt: savas kopijas dzēšana neaizskar jau paņemtās kopijas, un katrs kolēģis, kas tai uzticējās, tagad uzticas kaut kam, kas ir ārējam cilvēkam.

Atsaukšana ir konfigurācijas darbība, nevis kriptogrāfiska. WireGuard nepiegādā atsaukšanas sarakstu, tāpēc kolēģi noņemat:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN uz sertifikātiem balstīti izvietojumi atsauc sertifikātu un publicē CRL, ko serveris tiešām pārbauda ar crl-verify. Bez šīs direktīvas atsaukšanas saraksts ir tikai rotājums. Abos gadījumos secība ir tāda pati: izsniegt aizstājēju, izplatīt to atbalstītajā kanālā, pēc tam pensionēt veco identitāti.

Kļūdas, kas rodas, sajaucot trīs pārbaudes

Lielākā daļa reālo noplūžu nav cilvēka lēmums publicēt privāto atslēgu. Tas ir viss profils, kas ielīmēts forumā: WireGuard .conf ar PrivateKey rindu, .ovpn pakotne ar iekļautu atslēgas bloku, vai klienta loga ekrānuzņēmums, kurā nejauši iekļauts atslēgas lauks. Publiskā vērtība, visticamāk, bija kārtībā; tā ceļoja kopā ar daļu, kas nebija.

Atbalsta darbplūsmas ir otrais avots. Nevienam leģitīmam pārbaudes solim nav vajadzīga jūsu privātā atslēga, jo otra puse vajadzīgo atvasina no publiskās puses. Kad veidlapa vai cilvēks prasa privāto vērtību, pareizā atbilde ir publiskā vērtība plus vietējā komanda, kas to rada.

Žurnāli un ekrānuzņēmumi pieder tai pašai kategorijai. Diagnostikas izvade var saturēt atslēgas materiālu, sesiju identifikatorus un iekšējās adreses, un visa tā publicēšana, lai saņemtu atbildi uz vienu jautājumu, apmaina nelielas ērtības pret lielāku atklātību.

Pēc privātās vērtības noplūdes pensionējiet identitāti

Ja privātā vērtība tomēr izgāja, uzskatiet šo identitāti par pensionētu. Ģenerējiet jaunu pāri, instalējiet publisko pusi tur, kur kolēģi to gaida, noņemiet veco kolēģi vai atsauciet veco sertifikātu, un pārbaudiet vietas, kur to publicējāt. Jūs nevarat dzēst kopijas, ko nekontrolējat, tāpēc noņemšana ir par nākotni, nevis pagātni.

Pēc tam pierakstiet izplatīšanu: kura atslēga pieder kurai ierīcei, kam ir kopija, kā tiek piegādāts aizstājējs un kas noņem pensionēto kolēģi. Šīs ir daļas, ko cilvēki aizmirst, un tās nosaka, cik ilgi noplūde paliek noderīga.