Вашиот VPN профил содржи приватен клуч, а не само поставки

Секој што залепува VPN профил во форумска тема тргнува од истото уверување. Датотеката содржи само адреса на сервер и неколку опции, затоа нејзиното споделување изгледа како споделување телефонски број. Потоа некој ја чита и наоѓа нешифриран приватен клуч на четвртиот ред.

Профилот не е документација за тунелот. Тој е идентитетот на тунелот, изпишан.

Објектите во датотеката не делат исто ниво на тајност

Јавниот CA сертификат е наменет за патување. Приватниот клуч на клиентот не е. Кога и двете се појавуваат во иста датотека, безопасното го прави целиот прилог да изгледа безбеден. Тоа е стапицата.

OpenVPN го влошува тоа по дизајн. Дозволува сертификати, клучеви и материјал за автентикација да се вградат директно. Тоа е погодно за распоредување и катастрофално за споделување. Датотеката што започнува со читлив блок сертификат продолжува во приватната половина.

WireGuard е поотворен за тоа. Делот за интерфејс носи приватен клуч, а секој peer може згора да носи и однапред споделен клуч. Нема нејаснотија кои редови се важни. Речиси секој ред е.

Екранската слика е истото истекување во друг формат

Кодирањето на конфигурацијата како QR код не ја прави преглед. Кодот ги носи истите бајти, и секоја камера на телефон во собата може да го декодира. Истото важи за екранска слика од конфигурацискиот прозорец на клиент, каде клучот е читлив во аголот.

Датотеките за автентикација и наведените патеки до клучеви припаѓаат на истата ревизија. Профил што покажува на надворешна датотека не е автоматски побезбеден, бидејќи патеката може да води некаде каде читателот може да стигне. Токенот во датотека за автентикација е исто толку употреблив како лозинка, и ретко изгледа како неа.

Испратете го текстот на грешката, не клучот

Дијагнозата бара текст на грешката, верзија на клиентот и имиња на пробаните опции. Не бара клуч. Напишете го прашањето со тие три работи и заменете ја секоја тајна и секој непотребен мрежен идентификатор пред датотеката да ја напушти вашата машина.

Делот од прирачникот на OpenVPN за вградени датотеки е корисна карта каде се наоѓаат тие објекти. Тој исто така потсетува колку од нив може да содржи еден профил.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Потоа прочитајте го конечниот прилог наместо да верувате на вашето сеќавање за уредувањето. Клучевите се кријат во подоцнежни блокови, во нередуциран коментар и во ред што сте одлучиле дека е структурен.

По изложувањето, ротацијата е единствената поправка

Бришењето на објавата не отповикува ништо. Оној што ја добил датотеката сѐ уште има валидни акредитиви, затоа издавачот мора да ги отповика или замени преку сопствениот процес на услугата. Отстранувањето на локална копија не менува ништо на далечниот крај.

Чувајте работни профили со заштитен метод и намерно отстранувајте застарени увезени записи наместо да оставате три копии во папка за преземања. Профилот што повеќе не го користите сѐ уште е акредитација, додека не биде отповикан.

Навиката што вреди да се изгради е мала. Пред било кој профил да ја напушти машината, прашајте што друго има во него освен адресата, и одговорете читајќи ја датотеката, а не сеќавајќи се на неа.