VPN चावी सार्वजनिकपणे शेअर करता येते का? तीन गोष्टी तपासा

तुम्ही तुमची VPN सार्वजनिक चावी एखाद्या सहकाऱ्याला, पुरवठादाराला किंवा फोरमला देऊ शकता आणि बोगदा कार्यरत राहतो. पण खाजगी चावी, अगदी सहाय्य कर्मचाऱ्यांनाही, ती चावी जे ओळख सिद्ध करते ती न सोपवता देऊ शकत नाही. निर्णय असा स्वच्छ राहतोच असे नाही, कारण लोक जोडीचा कोणता अर्धा भाग पाहत आहेत यात गोंधळतात आणि काही उपयोजन सार्वजनिक मूल्याला नावासारखे वागवतात. तीन तपासण्या हे सोडवतात: कोणता अर्धा भाग तुमच्याकडे आहे, उपयोजन त्याला कशाशी जोडते आणि बदलीला किती किंमत येते.

पहिली तपासणी: जोडीचा कोणता अर्धा भाग तुमच्या क्लिपबोर्डवर आहे

असममितीय चाव्या जोडीने येतात, आणि व्युत्पत्तीची दिशा हाच सर्व मुद्दा आहे. WireGuard मध्ये खाजगी चावी 32 यादृच्छिक बाइट्स असते आणि सार्वजनिक चावी तिच्यापासून मोजली जाते; उलट दिशेने शक्य नाही. wg genkey खाजगी मूल्य लिहिते, wg pubkey सार्वजनिक मूल्य काढते, आणि फक्त दुसरेच सहकाऱ्याला पाठवल्या जाणाऱ्या संदेशात बसते.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

प्रमाणपत्रांचे जग अधिक हलत्या भागांसह तोच विभाग वापरते. सर्व्हर प्रमाणपत्र सार्वजनिक चावी आणि नावे घेऊन जाते, आणि CA कधीही न सोडणाऱ्या CA खाजगी चावीने त्यावर स्वाक्षरी होते. तो सर्व्हर तपासणाऱ्या क्लायंटला सार्वजनिक असलेले CA प्रमाणपत्र लागते आणि CA च्या खाजगी स्वाक्षरी चावीचा त्याला काही उपयोग नाही.

तुमच्याकडे कोणते मूल्य आहे याची खात्री नसल्यास फाइलनाव नव्हे तर खुणा शोधा. खालीलने सुरू होणारा PEM ब्लॉक, -----BEGIN PRIVATE KEY-----, किंवा जुना BEGIN RSA PRIVATE KEY प्रकार, हा गुप्त अर्धा भाग आहे. त्या खुणेशिवाय तुम्ही पेस्ट करू शकता ते मूल्य शेअरिंगसाठी उमेदवार आहे, पुढील दोन तपासण्यांच्या अधीन.

दुसरी तपासणी: उपयोजन त्या सार्वजनिक मूल्याला कशाशी जोडते

क्रिप्टोग्राफिक सुरक्षितता आणि अनामिकता वेगवेगळे गुणधर्म आहेत. WireGuard सहकाऱ्याची सार्वजनिक चावी उपयोजनाच्या आत स्थिर ओळखकर्ता आहे: सर्व्हर संरचना ती यादीत ठेवते, हॅंडशेक तिला नाव देते, आणि लॉग वाचणारा प्रशासक तो सहकारी जोडला जाईल तेव्हा प्रत्येक वेळी तीच मालिका पाहतो. तुमच्या सेटअपबद्दलच्या प्रश्नाच्या शेजारी चावी पोस्ट केल्यास, तुम्ही ती मालिका पोस्टमधील बाकी सर्वांशी जोडली आहे.

प्रमाणपत्रे रचनेनेच ओळख उघड करतात. Subject आणि subject alternative name वाचनीय असतात, आणि सार्वजनिकरीत्या विश्वासार्ह TLS प्रमाणपत्रांसाठी प्रमाणपत्रच शोधण्यायोग्य Certificate Transparency लॉगमध्ये प्रकाशित होते. यापैकी काहीही खाजगी चावी उघड करत नाही, आणि सर्व काही नाते उघड करते.

इथेच उपयोजने वेगळी पडतात आणि ते उत्तर ठरवते. प्रयोगशाळेच्या सर्व्हरवरील एकदा वापरण्याचा चाचणी सहकारी कंपनीचा साइट-टू-साइट टोक ओळखणाऱ्या चावीपेक्षा वेगळा घटक आहे, बाइट्स सारखे दिसले तरी.

तिसरी तपासणी: काय रद्द करू शकता आणि किती लवकर

तिसरी तपासणी दोन्ही अर्धे भाग पूर्णपणे वेगळे करते. प्रकाशित सार्वजनिक चावी तुमच्या वेळापत्रकानुसार बदलता येते. प्रकाशित खाजगी चावी परत आणता येत नाही: तुमची प्रत पुसल्याने आधीच घेतलेल्या प्रतींना धक्का बसत नाही, आणि तिच्यावर विश्वास ठेवणारा प्रत्येक सहकारी आता बाहेरच्या व्यक्तीकडे असलेल्या गोष्टीवर विश्वास ठेवतो.

रद्द करणे ही संरचना क्रिया आहे, क्रिप्टोग्राफिक नाही. WireGuard रद्दीकरण यादी पुरवत नाही, म्हणून तुम्ही सहकाऱ्याला काढता:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN प्रमाणपत्रांवर उभ्या असलेल्या उपयोजना प्रमाणपत्र रद्द करतात आणि सर्व्हर प्रत्यक्षात crl-verify द्वारे तपासतो अशी CRL प्रकाशित करतात. त्या सूचनेशिवाय रद्दीकरण यादी फक्त सजावट आहे. दोन्ही बाबतीत क्रम तोच: बदली निर्गमित करा, समर्थित मार्गाने वितरित करा, मग जुनी ओळख निवृत्त करा.

तीन तपासण्या एकत्र करण्यातून येणाऱ्या चुका

बहुतेक खऱ्या गळती एक व्यक्तीने खाजगी चावी प्रकाशित करण्याचा निर्णय घेणे नसतात. ते संपूर्ण प्रोफाइल फोरमवर पेस्ट करणे असते: WireGuard .conf फाइलमध्ये PrivateKey ओळ असलेले एक, .ovpn बंडलमध्ये इनलाइन चावी ब्लॉक असलेले दुसरे, किंवा चावीचे क्षेत्र अपघाताने दिसलेला क्लायंट विंडोचा स्क्रीनशॉट. सार्वजनिक मूल्य कदाचित ठीक होते; ते चुकीच्या भागासोबत प्रवास करत होते.

सहाय्य कार्यप्रवाह हा दुसरा स्रोत आहे. कोणत्याही कायदेशीर पडताळणीच्या पायरीला तुमची खाजगी चावी लागत नाही, कारण दुसरी बाजू तिला आवश्यक ते सार्वजनिक अर्ध्यातून काढते. फॉर्म किंवा व्यक्ती खाजगी मूल्य मागते तेव्हा योग्य उत्तर सार्वजनिक मूल्य आणि ते तयार करणारा स्थानिक आदेश हे आहे.

लॉग आणि स्क्रीनशॉट त्याच वर्गात येतात. निदान आउटपुटमध्ये चावी सामग्री, सत्र ओळखकर्ते आणि अंतर्गत पत्ते असू शकतात, आणि एका प्रश्नाचे उत्तर मिळवण्यासाठी ते सर्व पोस्ट करणे थोडी सोय मोठ्या उघडपणाशी बदलत आहे.

खाजगी मूल्य गळल्यानंतर ओळख निवृत्त करा

खाजगी मूल्य खरोखर बाहेर पडले असेल, तर ती ओळख निवृत्त झाली आहे असे माना. नवीन जोडी तयार करा, सहकारी अपेक्षित असलेल्या ठिकाणी सार्वजनिक अर्धा भाग बसवा, जुना सहकारी काढा किंवा जुने प्रमाणपत्र रद्द करा, आणि तुम्ही ते प्रकाशित केलेली ठिकाणे तपासा. तुमच्या नियंत्रणाबाहेरील प्रती पुसू शकत नाही, म्हणून काढणे भूतकाळाबद्दल नाही, भविष्याबद्दल आहे.

मग वितरण लिहून ठेवा: कोणती चावी कोणत्या उपकरणाची, कोणाकडे प्रत आहे, बदली कशी पोहोचवली जाते आणि निवृत्त सहकारी कोण काढतो. हेच भाग लोक विसरतात, आणि गळती किती काळ उपयुक्त राहील हे ते ठरवतात.