Jūsu VPN profilā ir privātā atslēga, ne tikai iestatījumi

Ikviens, kas ielīmē VPN profilu foruma pavedienā, sāk ar to pašu pārliecību. Failā ir tikai servera adrese un dažas opcijas, tāpēc tā kopīgošana šķiet kā tālruņa numura kopīgošana. Tad kāds to izlasa un ceturtajā rindā atrod nešifrētu privāto atslēgu.

Profils nav dokumentācija par tuneli. Tas ir tuneļa identitāte, izrakstīta.

Faila objektiem nav vienāds slepenības līmenis

Publisks CA sertifikāts ir paredzēts ceļošanai. Klienta privātā atslēga nav. Kad abi parādās vienā failā, nekaitīgais liek visam pielikumam izskatīties drošam. Tas ir slazds.

OpenVPN to pēc dizaina padara vēl sliktāku. Tas ļauj sertifikātus, atslēgas un autentifikācijas materiālu iegult tieši failā. Tas ir ērti izvietošanai un postoši kopīgošanai. Fails, kas sākas ar lasāmu sertifikāta bloku, turpinās privātajā pusē.

WireGuard par to ir tiešāks. Interfeisa sadaļa satur privāto atslēgu, un katrs peer var papildus saturēt iepriekš kopīgu atslēgu. Nav nekādas neskaidrības par to, kuras rindas ir svarīgas. Gandrīz katra rinda ir.

Ekrānuzņēmums ir tā pati noplūde citā formātā

Konfigurācijas kodēšana kā QR kods to nepārvērš priekšskatījumā. Kods satur tos pašus baitus, un jebkura tālruņa kamera telpā to var atšifrēt. Tas pats attiecas uz klienta konfigurācijas loga ekrānuzņēmumu, kur atslēga ir lasāma stūrī.

Autentifikācijas faili un norādītie atslēgu ceļi pieder pie tā paša audita. Profils, kas norāda uz ārēju failu, nav automātiski drošāks, jo ceļš var aizvest tur, kur lasītājs var nokļūt. Marķieris autentifikācijas failā ir tikpat izmantojams kā parole, un tas reti izskatās tā.

Sūtiet kļūdas tekstu, nevis atslēgu

Diagnostikai nepieciešams kļūdas teksts, klienta versija un izmēģināto opciju nosaukumi. Tai nav vajadzīga atslēga. Uzrakstiet jautājumu ar šīm trim lietām un aizstājiet katru noslēpumu un katru lieko tīkla identifikatoru, pirms fails atstāj jūsu mašīnu.

OpenVPN rokasgrāmatas sadaļa par iegultajiem failiem ir noderīga karte, kur atrodas šie objekti. Tā arī atgādina, cik daudz no tiem var ietilpt vienā profilā.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Pēc tam izlasiet galīgo pielikumu, nevis paļaujieties uz savu atmiņu par rediģēšanu. Atslēgas slēpjas vēlākos blokos, nerediģētā komentārā un rindā, kuru nolēmāt uzskatīt par strukturālu.

Pēc atklāšanas rotācija ir vienīgais labojums

Ieraksta dzēšana neko neatceļ. Tas, kurš saņēma failu, joprojām tur derīgu akreditācijas datu, tāpēc izdevējam tas jāatceļ vai jāaizstāj ar paša pakalpojuma procedūru. Vietējās kopijas noņemšana neko nemaina tālajā galā.

Glabājiet darba profilus aizsargātā veidā un apzināti noņemiet novecojušos importētos ierakstus, nevis atstājiet trīs kopijas lejupielāžu mapē. Profils, kuru vairs neizmantojat, joprojām ir akreditācijas dati, līdz tas tiek atcelts.

Ieradums, ko ir vērts veidot, ir mazs. Pirms jebkurš profils atstāj mašīnu, pajautājiet, kas tajā vēl ir bez adreses, un atbildiet, lasot failu, nevis to atceroties.