VPN പൊതു കീ പങ്കിടാമോ? മൂന്ന് കാര്യങ്ങൾ പരിശോധിക്കുക

നിങ്ങളുടെ VPN പൊതു കീ ഒരു സഹപ്രവർത്തകന്, ദാതാവിന് അല്ലെങ്കിൽ ഫോറത്തിന് നൽകാം, ടണൽ പ്രവർത്തിക്കുന്നത് തുടരും. എന്നാൽ സ്വകാര്യ കീ, പിന്തുണാ ജീവനക്കാർക്കുപോലും, ആ കീ തെളിയിക്കുന്ന ഐഡന്റിറ്റി കൈമാറാതെ നൽകാൻ കഴിയില്ല. തീരുമാനം അത്ര വ്യക്തമായി നിലനിൽക്കുന്നത് അപൂർവമാണ്, കാരണം ആളുകൾ ജോടിയുടെ ഏത് പകുതിയാണ് നോക്കുന്നതെന്ന് കുഴയ്ക്കുന്നു, കൂടാതെ ചില വിന്യാസങ്ങൾ പൊതു മൂല്യത്തെ ഒരു പേരായി കണക്കാക്കുന്നു. മൂന്ന് പരിശോധനകൾ ഇത് തീർക്കുന്നു: ഏത് പകുതി നിങ്ങളുടെ കൈവശമുണ്ട്, വിന്യാസം അതിനെ എന്തിനോട് ബന്ധിക്കുന്നു, പകരം വയ്ക്കാൻ എത്ര ചെലവാകുന്നു.

പരിശോധന ഒന്ന്: ജോടിയുടെ ഏത് പകുതിയാണ് നിങ്ങളുടെ ക്ലിപ്ബോർഡിൽ

അസമമിത കീകൾ ജോടിയായി വരുന്നു, ഉൽപ്പാദനത്തിന്റെ ദിശ തന്നെയാണ് മുഴുവൻ കാര്യം. WireGuard-ൽ സ്വകാര്യ കീ 32 ക്രമരഹിത ബൈറ്റുകളാണ്, പൊതു കീ അതിൽ നിന്ന് കണക്കാക്കുന്നു; വിപരീത ദിശയിൽ സാധ്യമല്ല. wg genkey സ്വകാര്യ മൂല്യം എഴുതുന്നു, wg pubkey പൊതുവായത് ഉൽപ്പാദിപ്പിക്കുന്നു, രണ്ടാമത്തേത് മാത്രമാണ് സഹപ്രവർത്തകനുള്ള സന്ദേശത്തിൽ ഇടം പിടിക്കുന്നത്.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

സർട്ടിഫിക്കറ്റുകളുടെ ലോകം അതേ വിഭജനം കൂടുതൽ ചലിക്കുന്ന ഭാഗങ്ങളോടെ ഉപയോഗിക്കുന്നു. ഒരു സർവർ സർട്ടിഫിക്കറ്റ് പൊതു കീയും പേരുകളും വഹിക്കുന്നു, CA വിട്ടുപോകാത്ത ഒരു CA സ്വകാര്യ കീ കൊണ്ട് അതിൽ ഒപ്പിടുന്നു. ആ സർവർ പരിശോധിക്കുന്ന ക്ലയന്റിന് പൊതുവായ CA സർട്ടിഫിക്കറ്റ് വേണം, CA-യുടെ സ്വകാര്യ ഒപ്പ് കീ അതിന് ഉപയോഗമില്ല.

ഏത് മൂല്യമാണ് കൈവശമുള്ളതെന്ന് ഉറപ്പില്ലെങ്കിൽ ഫയൽനാമത്തിനല്ല, അടയാളത്തിന് പിന്നാലെ പോകുക. താഴെ പറയുന്നതിൽ തുടങ്ങുന്ന PEM ബ്ലോക്ക്, -----BEGIN PRIVATE KEY-----, അല്ലെങ്കിൽ പഴയ BEGIN RSA PRIVATE KEY രൂപം, രഹസ്യ പകുതിയാണ്. ആ അടയാളമില്ലാതെ നിങ്ങൾക്ക് പേസ്റ്റ് ചെയ്യാവുന്ന മൂല്യം പങ്കിടാനുള്ള സ്ഥാനാർഥിയാണ്, അടുത്ത രണ്ട് പരിശോധനകൾക്ക് വിധേയമായി.

പരിശോധന രണ്ട്: വിന്യാസം ആ പൊതു മൂല്യത്തിനോട് എന്ത് ബന്ധിക്കുന്നു

ക്രിപ്റ്റോഗ്രാഫിക് സുരക്ഷയും അജ്ഞാതത്വവും വ്യത്യസ്ത ഗുണങ്ങളാണ്. ഒരു WireGuard സഹപ്രവർത്തകന്റെ പൊതു കീ വിന്യാസത്തിനുള്ളിൽ സ്ഥിരമായ ഐഡന്റിഫയറാണ്: സർവർ കോൺഫിഗറേഷൻ അത് പട്ടികയിൽ ചേർക്കുന്നു, ഹാൻഡ്ഷേക്ക് അതിനെ പേരിടുന്നു, ലോഗുകൾ വായിക്കുന്ന അഡ്മിനിസ്ട്രേറ്റർ ആ സഹപ്രവർത്തകൻ കണക്ട് ചെയ്യുമ്പോഴെല്ലാം അതേ സ്ട്രിംഗ് കാണുന്നു. നിങ്ങളുടെ സെറ്റപ്പിനെക്കുറിച്ചുള്ള ചോദ്യത്തിനരികിൽ കീ പോസ്റ്റ് ചെയ്താൽ, ആ സ്ട്രിംഗിനെ പോസ്റ്റിലെ മറ്റെല്ലാമായി ബന്ധിപ്പിച്ചു.

സർട്ടിഫിക്കറ്റുകൾ രൂപകൽപ്പനപ്രകാരം ഐഡന്റിറ്റി വെളിപ്പെടുത്തുന്നു. Subject-ഉം subject alternative name-ഉം വായിക്കാം, പൊതുവായി വിശ്വസനീയമായ TLS സർട്ടിഫിക്കറ്റുകളുടെ കാര്യത്തിൽ സർട്ടിഫിക്കറ്റ് തന്നെ തിരയാവുന്ന Certificate Transparency ലോഗുകളിൽ പ്രസിദ്ധീകരിക്കുന്നു. ഇവയൊന്നും സ്വകാര്യ കീ വെളിപ്പെടുത്തുന്നില്ല, എല്ലാം ഒരു ബന്ധം വെളിപ്പെടുത്തുന്നു.

ഇവിടെയാണ് വിന്യാസങ്ങൾ വ്യത്യാസപ്പെടുന്നത്, അതാണ് ഉത്തരം തീരുമാനിക്കുന്നത്. ലാബ് സർവറിലെ ഒരു തവണ മാത്രം ഉപയോഗിക്കുന്ന ടെസ്റ്റ് സഹപ്രവർത്തകൻ കമ്പനിയുടെ സൈറ്റ്-ടു-സൈറ്റ് എൻഡ്പോയിന്റ് തിരിച്ചറിയുന്ന കീയിൽ നിന്ന് വ്യത്യസ്തമായ വസ്തുവാണ്, ബൈറ്റുകൾ ഒരേപോലെ തോന്നുന്നുവെങ്കിലും.

പരിശോധന മൂന്ന്: എന്ത് റദ്ദാക്കാം, എത്ര വേഗത്തിൽ

മൂന്നാം പരിശോധന രണ്ട് പകുതികളെ പൂർണമായി വേർതിരിക്കുന്നു. പ്രസിദ്ധീകരിച്ച പൊതു കീ നിങ്ങളുടെ ഷെഡ്യൂൾ അനുസരിച്ച് മാറ്റാം. പ്രസിദ്ധീകരിച്ച സ്വകാര്യ കീ തിരികെ വിളിക്കാനാവില്ല: നിങ്ങളുടെ പകർപ്പ് ഇല്ലാതാക്കുന്നത് മുമ്പ് എടുത്ത പകർപ്പുകളെ തൊടുന്നില്ല, അതിൽ വിശ്വസിച്ച ഓരോ സഹപ്രവർത്തകനും ഇപ്പോൾ പുറത്തുള്ള ഒരാളുടെ കൈവശമുള്ളതിൽ വിശ്വസിക്കുന്നു.

റദ്ദാക്കൽ ഒരു കോൺഫിഗറേഷൻ നടപടിയാണ്, ക്രിപ്റ്റോഗ്രാഫിക് അല്ല. WireGuard റദ്ദാക്കൽ പട്ടിക നൽകുന്നില്ല, അതിനാൽ സഹപ്രവർത്തകനെ നീക്കം ചെയ്യുന്നു:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN സർട്ടിഫിക്കറ്റുകളിൽ നിർമ്മിച്ച വിന്യാസങ്ങൾ സർട്ടിഫിക്കറ്റ് റദ്ദാക്കി, സർവർ യഥാർത്ഥത്തിൽ crl-verify വഴി പരിശോധിക്കുന്ന CRL പ്രസിദ്ധീകരിക്കുന്നു. ആ ഡയറക്ടീവ് ഇല്ലാതെ റദ്ദാക്കൽ പട്ടിക വെറും അലങ്കാരമാണ്. രണ്ട് സന്ദർഭങ്ങളിലും ക്രമം ഒന്നുതന്നെ: പകരം ഒന്ന് പുറപ്പെടുവിക്കുക, പിന്തുണയുള്ള ചാനലിലൂടെ വിതരണം ചെയ്യുക, പിന്നെ പഴയ ഐഡന്റിറ്റി വിരമിക്കുക.

മൂന്ന് പരിശോധനകൾ ഒന്നിച്ചു ചേർക്കുന്നതിൽ നിന്ന് വരുന്ന തെറ്റുകൾ

യഥാർത്ഥ ചോർച്ചകളിൽ ഭൂരിഭാഗവും സ്വകാര്യ കീ പ്രസിദ്ധീകരിക്കാൻ ഒരാൾ തീരുമാനിക്കുന്നതല്ല. മുഴുവൻ പ്രൊഫൈൽ ഒരു ഫോറത്തിൽ പേസ്റ്റ് ചെയ്യുന്നതാണ്: .conf ഫയലിൽ PrivateKey വരിയോടെയുള്ള ഒന്ന്, .ovpn ബണ്ടിലിൽ ഇൻലൈൻ കീ ബ്ലോക്കോടെയുള്ള ഒന്ന്, അല്ലെങ്കിൽ കീ ഫീൽഡ് യാദൃച്ഛികമായി ഉൾപ്പെട്ട ഒരു ക്ലയന്റ് വിൻഡോയുടെ സ്ക്രീൻഷോട്ട്. പൊതു മൂല്യം ഒരുപക്ഷേ കുഴപ്പമില്ലായിരുന്നു; അത് കുഴപ്പമുള്ള ഭാഗത്തോടൊപ്പം യാത്ര ചെയ്തു.

പിന്തുണാ വർക്ക്ഫ്ലോകളാണ് രണ്ടാം ഉറവിടം. യാതൊരു സാധുവായ പരിശോധനാ ഘട്ടത്തിനും നിങ്ങളുടെ സ്വകാര്യ കീ ആവശ്യമില്ല, കാരണം മറുവശം ആവശ്യമുള്ളത് പൊതു പകുതിയിൽ നിന്ന് ഉൽപ്പാദിപ്പിക്കുന്നു. ഒരു ഫോമോ വ്യക്തിയോ സ്വകാര്യ മൂല്യം ചോദിക്കുമ്പോൾ, ശരിയായ ഉത്തരം പൊതു മൂല്യവും അത് സൃഷ്ടിക്കുന്ന ലോക്കൽ കമാൻഡുമാണ്.

ലോഗുകളും സ്ക്രീൻഷോട്ടുകളും ഒരേ വിഭാഗത്തിൽ പെടുന്നു. ഡയഗ്നോസ്റ്റിക് ഔട്ട്പുട്ടിൽ കീ മെറ്റീരിയൽ, സെഷൻ ഐഡന്റിഫയറുകൾ, ആന്തരിക വിലാസങ്ങൾ എന്നിവ ഉണ്ടാകാം, ഒരു ചോദ്യത്തിന് ഉത്തരം ലഭിക്കാൻ അവയെല്ലാം പോസ്റ്റ് ചെയ്യുന്നത് ചെറിയ സൗകര്യം വലിയ വെളിപ്പെടുത്തലിന് പകരം നൽകുന്നു.

സ്വകാര്യ മൂല്യം ചോർന്നതിന് ശേഷം ഐഡന്റിറ്റി വിരമിക്കുക

സ്വകാര്യ മൂല്യം യഥാർത്ഥത്തിൽ പുറത്തുപോയെങ്കിൽ ആ ഐഡന്റിറ്റി വിരമിച്ചതായി കണക്കാക്കുക. പുതിയ ഒരു ജോടി ഉണ്ടാക്കുക, സഹപ്രവർത്തകർ പ്രതീക്ഷിക്കുന്നിടത്ത് പൊതു പകുതി ഇൻസ്റ്റാൾ ചെയ്യുക, പഴയ സഹപ്രവർത്തകനെ നീക്കം ചെയ്യുകയോ പഴയ സർട്ടിഫിക്കറ്റ് റദ്ദാക്കുകയോ ചെയ്യുക, നിങ്ങൾ അത് പ്രസിദ്ധീകരിച്ച സ്ഥലങ്ങൾ പരിശോധിക്കുക. നിങ്ങളുടെ നിയന്ത്രണത്തിലില്ലാത്ത പകർപ്പുകൾ ഇല്ലാതാക്കാനാവില്ല, അതിനാൽ നീക്കം ചെയ്യൽ ഭൂതകാലത്തെക്കുറിച്ചല്ല, ഭാവിയെക്കുറിച്ചാണ്.

പിന്നെ വിതരണം എഴുതിവയ്ക്കുക: ഏത് കീ ഏത് ഉപകരണത്തിന്റേതാണ്, ആരുടെ പക്കൽ പകർപ്പുണ്ട്, പകരം എങ്ങനെ എത്തിക്കുന്നു, വിരമിച്ച സഹപ്രവർത്തകനെ ആര് നീക്കം ചെയ്യുന്നു. ആളുകൾ മറക്കുന്ന ഭാഗങ്ങളാണ് ഇവ, ഒരു ചോർച്ച എത്രകാലം ഉപയോഗപ്രദമായി നിലനിൽക്കുമെന്ന് അവ തീരുമാനിക്കുന്നു.