Profil VPN anda membawa kunci peribadi, bukan hanya tetapan

Sesiapa yang menampal profil VPN ke utas forum bermula daripada kepercayaan yang sama. Fail itu hanya mengandungi satu alamat pelayan dan beberapa pilihan, jadi berkongsinya terasa seperti berkongsi nombor telefon. Kemudian seseorang membacanya dan menemui kunci peribadi yang tidak disulitkan pada baris keempat.

Profil itu bukan dokumentasi tentang terowong. Ia ialah identiti terowong itu, ditulis.

Objek dalam fail tidak berkongsi tahap kerahsiaan yang sama

Sijil CA awam dimaksudkan untuk bergerak. Kunci peribadi klien tidak. Apabila kedua-duanya muncul dalam fail yang sama, yang tidak berbahaya membuat seluruh lampiran kelihatan selamat. Itulah perangkapnya.

OpenVPN memburukkannya secara reka bentuk. Ia membenarkan sijil, kunci dan bahan pengesahan diterapkan terus. Itu mudah untuk penggunaan dan malapetaka untuk perkongsian. Fail yang bermula dengan blok sijil yang boleh dibaca berterusan ke separuh peribadi.

WireGuard lebih terang-terangan. Bahagian antara muka membawa kunci peribadi, dan setiap peer boleh membawa kunci yang dikongsi terlebih dahulu di atasnya. Tiada kekaburan tentang baris mana yang penting. Hampir setiap baris penting.

Tangkapan skrin ialah kebocoran yang sama dalam format lain

Mengenkod konfigurasi sebagai kod QR tidak menjadikannya pratonton. Kod itu membawa bait yang sama, dan mana-mana kamera telefon di dalam bilik boleh menyahkodnya. Perkara yang sama berlaku untuk tangkapan skrin tetingkap konfigurasi klien, di mana kunci itu boleh dibaca di sudut.

Fail pengesahan dan laluan kunci yang dirujuk tergolong dalam audit yang sama. Profil yang menunjuk ke fail luaran tidak semestinya lebih selamat, kerana laluan itu mungkin menuju ke tempat yang boleh dicapai oleh pembaca. Token dalam fail pengesahan sama bergunanya dengan kata laluan, dan jarang kelihatan seperti itu.

Hantar teks ralat, bukan kunci

Diagnosis memerlukan teks ralat, versi klien dan nama pilihan yang dicuba. Ia tidak memerlukan kunci. Tulis soalan itu dengan ketiga-tiga perkara, dan gantikan setiap rahsia dan setiap pengecam rangkaian yang tidak perlu sebelum fail itu meninggalkan mesin anda.

Bahagian manual OpenVPN tentang fail sebaris ialah peta berguna tentang di mana objek itu berada. Ia juga mengingatkan berapa banyak yang boleh dimuatkan oleh satu profil.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Kemudian baca lampiran akhir dan bukan mempercayai ingatan anda tentang suntingan itu. Kunci bersembunyi dalam blok kemudian, dalam komen yang tidak disunting dan dalam baris yang anda putuskan sebagai struktural.

Selepas pendedahan, putaran ialah satu-satunya pembaikan

Memadam siaran tidak membatalkan apa-apa. Sesiapa yang menerima fail itu masih memegang kelayakan yang berfungsi, sebab itulah pengeluar mesti membatalkan atau menggantikannya melalui proses perkhidmatan itu sendiri. Membuang salinan tempatan tidak mengubah apa-apa di hujung yang jauh.

Simpan profil kerja dengan kaedah yang dilindungi, dan buang entri import yang lapuk dengan sengaja dan bukan meninggalkan tiga salinan dalam folder muat turun. Profil yang anda tidak gunakan lagi masih merupakan kelayakan sehingga ia dibatalkan.

Tabiat yang wajar dibina itu kecil. Sebelum mana-mana profil meninggalkan mesin, tanya apa lagi yang ada di dalamnya selain alamat, dan jawab dengan membaca fail itu dan bukan mengingatinya.