Hantar bundel VPN kepada penerima yang betul, bukan sekadar kunci

Rakan kongsi menghantar kunci awam dan meminta bundel yang disulitkan. Penyulitan akan berfungsi, dan ia boleh menyerahkan bukti kelayakan yang dilindungi sepenuhnya kepada seseorang yang tidak sepatutnya memilikinya. Kerahsiaan dan identiti penerima ialah dua soalan berbeza yang dijawab oleh mekanisme berbeza. Jawab kedua-duanya sebelum bundel meninggalkan mesin anda.

Dua soalan berbeza: kerahsiaan dan penerima

Penyulitan menjawab siapa boleh membaca fail itu, dengan andaian kunci itu milik orang yang dimaksudkan. Tandatangan menjawab siapa yang menghasilkannya, dan tidak berkata apa-apa tentang kerahsiaan kerana fail yang ditandatangani masih boleh dibaca. Cap jari mengenal pasti kunci, dan hanya pemeriksaan bebas yang mengaitkan cap jari itu dengan seseorang atau peranan. Menganggap salah satu daripada ini sebagai yang lain ialah kegagalan biasa dalam penyerahan yang kelihatan berhati-hati.

Fail itu juga mempunyai kitaran hayat: pautan yang tamat tempoh mengehadkan pengambilan kemudian, tetapi ia tidak membatalkan bukti kelayakan yang sudah dimuat turun.

Sahkan cap jari di luar saluran

Dapatkan cap jari yang dijangka daripada saluran yang tidak bergantung pada mesej yang meminta anda menyulitkan. Kemudian bandingkannya dengan apa yang disimpan oleh cincin kunci tempatan.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Baris cap jari ialah nilai yang hendak dibandingkan, dan arahan kedua menunjukkan identiti yang sama dengan cap jari penuh untuk pandangan kedua. Sahkan keseluruhan rentetan melalui panggilan, inventori bertandatangan atau rekod pendaftaran terurus; nama paparan yang biasa tidak membuktikan apa-apa. Jika kunci tiba dalam mesej yang sama yang meminta penghantaran, cap jarinya bukan bukti bebas. Import kunci hanya selepas pemeriksaan itu, dan sulitkan kepada cap jari yang disahkan, bukan kepada nama.

Serahkan hanya bahan yang diperlukan peranti

Buat inventori bundel sebelum memilih pengangkutan. Tetapan gateway awam dan sijil kepercayaan awam ialah konfigurasi, kunci peribadi klien ialah rahsia, dan kunci tandatangan pengeluar ialah aset yang sama sekali berbeza. Di mana model pendaftaran membenarkannya, simpan kunci peribadi pada peranti dan serahkan hanya apa yang melengkapkan pendaftaran. Klien VPN tidak memerlukan kunci tandatangan CA untuk mengesahkan pelayan, dan satu kunci hidup yang dikongsi antara rakan kongsi menjadikan pembatalan individu mustahil.

Tandatangani juga artifak apabila penerima mesti mengesan penggantian, dan asingkan kedua-dua operasi dalam arahan. Simpan bundel berbilang fail dalam satu arkib supaya penerima tidak boleh memasang separuh konfigurasi dan kemudian melaporkan bahawa gateway menolak identiti.

Tutup kitaran hayat selepas penghantaran

Rekodkan penerima, peranti, semakan konfigurasi dan laluan pembatalan, tetapi jangan sekali-kali nilai peribadi itu sendiri. Sahkan bahawa orang yang dimaksudkan boleh mendaftar dan identiti lain ditolak. Jika bundel sampai ke tangan yang salah, ganti atau batalkan rahsia yang diterima melalui pengeluarya, kerana memadam lampiran tidak membatalkan apa-apa yang sudah dimuat turun. Arkib yang dilindungi kata laluan yang kata laluannya melalui perbualan yang sama juga bukan pemeriksaan bebas.

Penyerahan selesai apabila identiti yang betul aktif pada peranti yang betul, bukan apabila fail yang disulitkan berjaya dimuat naik.