VPN-ийн нийтийн түлхүүрийг хуваалцаж болох уу? Гурван зүйлийг шалгаарай

VPN-ийн нийтийн түлхүүрээ хамтрагч, үйлчилгээ үзүүлэгч эсвэл форумд өгч болно, туннель ажилласаар байна. Харин хувийн түлхүүрийг, тусламж үйлчилгээний ажилтнуудад ч гэсэн, тэр түлхүүрээр нотлогдох таних мэдээллийг шилжүүлэхгүйгээр өгч болохгүй. Шийдвэр ийм цэвэрхэн байх нь ховор, учир нь хүмүүс хосын аль хагасыг харж байгаагаа төөрөлдүүлдэг, мөн зарим байрлуулалт нийтийн утгыг нэр мэт үздэг. Үүнийг гурван шалгалт шийднэ: аль хагас тань байгаа, байрлуулалт үүнийг юунд холбодог, орлуулалт хэр үнэтэй вэ.

Нэгдүгээр шалгалт: хосын аль хагас таны санах ойд байна

Ассиметрик түлхүүрүүд хосоор ирдэг, гаргалтын чиглэл нь бүх асуудал. WireGuard-д хувийн түлхүүр нь 32 санамсаргүй байт, нийтийн түлхүүрийг түүнээс тооцдог; эсрэг чиглэлд боломжгүй. wg genkey хувийн утгыг бичнэ, wg pubkey нийтийг гаргана, зөвхөн хоёр дахь нь хамтрагч руу илгээх зурваст тохирно.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Сертификатын ертөнц ижил хуваалтыг илүү олон хөдөлгөөнтэй хэсгээр ашигладаг. Серверийн сертификат нь нийтийн түлхүүр болон нэрсийг агуулж, CA-г хэзээ ч орхидоггүй CA-ийн хувийн түлхүүрээр гарын үсэг зурдаг. Тэр серверийг шалгадаг клиентэд нийтийн байдаг CA-ийн сертификат хэрэгтэй бөгөөд CA-ийн хувийн гарын үсгийн түлхүүрийг огт ашиглахгүй.

Аль утгыг барьж байгаагаа мэдэхгүй бол файлын нэр биш, тэмдгийг хай. Дараахоор эхэлсэн PEM блок, -----BEGIN PRIVATE KEY-----, эсвэл хуучин BEGIN RSA PRIVATE KEY хэлбэр нь нууц хагас. Тэр тэмдэггүйгээр буулгаж болох утга нь дараагийн хоёр шалгалтаас хамааран хуваалцах нэр дэвшигч юм.

Хоёрдугаар шалгалт: байрлуулалт тэр нийтийн утгыг юунд холбодог

Криптографын аюулгүй байдал ба нэргүй байдал нь өөр шинж чанарууд. WireGuard-ийн хамтрагчийн нийтийн түлхүүр нь байрлуулалтын дотор тогтвортой танигч: серверийн тохиргоо түүнийг жагсаадаг, гар барих үйлдэл түүнийг нэрлэдэг, лог уншдаг администратор тэр хамтрагч холбогдох бүрд ижил тэмдэгт мөрийг хардаг. Түлхүүрийг тохиргооны тухай асуултын хажууд нийтэлбэл, та тэр мөрийг нийтлэл дэх бусад бүхэнтэй холбосон байна.

Сертификатууд зохион байгуулалтаараа таних мэдээллийг ил гаргадаг. Subject болон subject alternative name уншигдана, нийтэд итгэмжлэгдсэн TLS сертификатын хувьд сертификат өөрөө хайлт хийх боломжтой Certificate Transparency лог руу нийтлэгддэг. Эдгээрийн аль нь ч хувийн түлхүүрийг ил гаргахгүй, харин бүгд харилцааг ил гаргана.

Энд байрлуулалтууд ялгаатай байдаг, энэ нь хариултыг шийддэг. Лабораторийн сервер дээрх нэг удаагийн туршилтын хамтрагч нь компанийн сайт хоорондын төгсгөлийн цэгийг таних түлхүүрээс өөр объект, байтууд ижил харагдаж байсан ч.

Гуравдугаар шалгалт: юуг хүчингүй болгож болох, хэр хурдан

Гуравдугаар шалгалт хоёр хагасыг бүрэн тусгаарладаг. Нийтлэгдсэн нийтийн түлхүүрийг өөрийн хуваарийн дагуу сольж болно. Нийтлэгдсэн хувийн түлхүүрийг буцааж авах боломжгүй: өөрийн хуулбарыг устгах нь аль хэдийн авсан хуулбаруудад хүрэхгүй, түүнд итгэсэн хамтрагч бүр одоо гадны хүний гарт байгаа зүйлд итгэж байна.

Хүчингүй болгох нь криптографын бус, тохиргооны үйлдэл. WireGuard хүчингүй болгох жагсаалт нийлүүлдэггүй тул та хамтрагчийг хасна:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN сертификат дээр баригдсан байрлуулалтууд сертификатыг хүчингүй болгож, сервер үнэхээр crl-verify -аар шалгадаг CRL-ийг нийтэлдэг. Тэр зааваргүй бол хүчингүй болгох жагсаалт зөвхөн чимэглэл. Аль ч тохиолдолд дараалал ижил: орлуулагч гаргаж, дэмжигдсэн сувгаар тарааж, дараа нь хуучин таних мэдээллийг тэтгэвэрт гаргана.

Гурван шалгалтыг нэгтгэснээс үүдэх алдаанууд

Бодит алдагдлын ихэнх нь хүн хувийн түлхүүрийг нийтлэхээр шийдсэн явдал биш. Энэ нь бүтэн профайлыг форумд буулгасан явдал: WireGuard .conf файл PrivateKey мөртэй, .ovpn багц дотор нь оруулсан түлхүүрийн блоктой, эсвэл түлхүүрийн талбарыг санамсаргүй агуулсан клиентийн цонхны дэлгэцийн зураг. Нийтийн утга магадгүй хэвийн байсан; тэр нь хэвийн бус хэсэгтэйгээ хамт явсан.

Тусламжийн ажлын урсгал нь хоёр дахь эх сурвалж. Ямар ч хууль ёсны шалгалтын алхам таны хувийн түлхүүрийг шаарддаггүй, учир нь нөгөө тал хэрэгтэйгээ нийтийн хагасаас гаргадаг. Маягт эсвэл хүн хувийн утгыг асуухад зөв хариулт нь нийтийн утга болон түүнийг үүсгэдэг локал команд юм.

Лог болон дэлгэцийн зураг ижил ангилалд орно. Оношлогоаны гаралт нь түлхүүрийн материал, сессийн танигч, дотоод хаягийг агуулж болох бөгөөд нэг асуултад хариулт авахын тулд бүгдийг нь нийтлэх нь бага тав тухыг илүү их ил болголтоор солилцох юм.

Хувийн утга алдагдсаны дараа таних мэдээллийг тэтгэвэрт гарга

Хувийн утга үнэхээр гарсан бол тэр таних мэдээллийг тэтгэвэрт гарсан гэж үзээрэй. Шинэ хос үүсгэж, нийтийн хагасыг хамтрагчид хүлээж байгаа газарт суулгаж, хуучин хамтрагчийг хас эсвэл хуучин сертификатыг хүчингүй болгож, түүнийг нийтэлсэн газруудыг шалгаарай. Өөрийн хяналтад байхгүй хуулбарыг устгаж чадахгүй тул устгах нь өнгөрсөн биш, ирээдүйн тухай юм.

Дараа нь түгээлтийг бичиж үлдээ: аль түлхүүр аль төхөөрөмжид хамаарах, хэн хуулбартай, орлуулагч хэрхэн хүргэгдэх, тэтгэвэрт гарсан хамтрагчийг хэн хасдаг. Хүмүүсийн мартдаг хэсгүүд нь эдгээр бөгөөд алдагдал хэр удаан ашигтай үлдэхийг тэд шийддэг.