Anda tidak perlukan kunci peribadi untuk menyahpepijat VPN
Eksport konfigurasi bukan diagnosis. Output status menunjukkan rakan, jabat tangan dan versi, dan tidak pernah menyertakan kunci peribadi yang mengenal pasti peranti anda.
Permintaan itu kedengaran wajar: hantar konfigurasi supaya sokongan dapat melihat apa yang salah. Di situlah juga kunci peribadi berakhir dalam sistem tiket dan log sembang. Konfigurasi ialah identiti, bukan diagnosis, dan orang yang menyahpepijat terowong anda hampir tidak pernah memerlukan separuh yang membuktikan siapa anda. Output status menjawab soalan yang sama tanpa risiko itu.
Mitonya ialah konfigurasi satu-satunya pandangan lengkap. Ia pandangan lengkap yang paling tidak selamat.
Mitos: sokongan perlukan konfigurasi
Sokongan perlukan teks ralat, versi klien dan pelayan, titik akhir, keadaan jabat tangan dan susunan peristiwa. Semua itu status. Konfigurasi menambah kunci, dan kunci itulah yang membolehkan orang lain menjadi anda. Menyerahkan konfigurasi untuk membaiki masalah penghalaan seperti menghantar pasport melalui pos untuk menjelaskan penerbangan yang tertunda. Permintaan itu biasanya datang daripada seseorang yang tidak pernah melihat rangkaian anda dan meminta perkara yang paling mudah dilampirkan.
Hantar output terkecil yang menjawab soalan, bukan yang terbesar yang anda temui.
Apa yang status sebenarnya tunjukkan
wg show WireGuard mencetak antara muka, rakan, IP yang dibenarkan, titik akhir, jabat tangan terkini dan pembilang pemindahan, dan ia tidak mencetak kunci peribadi. Output status dan log OpenVPN memberikan keadaan sambungan dan ralat tanpa blok kunci terbenam. Kedua-duanya cukup untuk melihat sama ada jabat tangan selesai, sama ada pembilang bergerak dan rakan mana yang digunakan, yang didokumenkan manual wg sebagai paparan status.
Jika pembantu meminta konfigurasi sebelum meminta output itu, tanya apa yang konfigurasi akan tunjukkan yang status tidak tunjukkan.
Di mana rahsia bersembunyi dalam setiap format
Fail konfigurasi WireGuard mengandungi baris PrivateKey, dan kunci rakan awam serta metadata titik akhir masih mengenal pasti walaupun tanpanya. Profil OpenVPN boleh membenamkan blok <key> dan <tls-crypt> atau merujuk fail berasingan yang bergerak bersama profil. Arkib sokongan klien boleh mengandungi jauh lebih banyak daripada yang ditunjukkan tetingkap log, termasuk profil dalam cache yang anda terlupa kewujudannya. Tangkapan skrin ialah kebocoran biasa yang lain, kerana tetingkap terminal menunjukkan lebih daripada arahan yang anda ingin kongsi.
Baca dokumentasi eksport, kemudian buka fail itu. Output berlabel diagnostik belum tentu telah dibersihkan daripada apa-apa.
Sunting, kemudian hantar salinan yang disemak
Simpan yang asal di tempat terlindung dan hantar salinan yang disemak. Gantikan titik akhir dan kunci awam dengan pemegang tempat yang stabil apabila nilai sebenar tidak diperlukan, dan buang blok kunci peribadi sepenuhnya daripada menutupnya sebahagian. Menutup sebahagian blok base64 masih kunci yang bocor. Baca fail itu sekali lagi sebelum ia pergi, kerana arkib sering membawa salinan kedua profil yang sama.
Gunakan saluran yang disahkan, dan semak siapa yang menerimanya sebelum anda melampirkan apa-apa.
Jika kunci sudah bocor
Memadam mesej tidak memulihkan salinan yang orang lain sudah miliki. Putar identiti melalui proses pembatalan dan penggantian pengendali, dan anggap kunci lama terkompromi sejak saat ia dihantar. Kebanyakan pengendali akan menggantikan identiti klien dengan cepat setelah pendedahan dilaporkan, dan laporan itulah bahagian yang orang tangguhkan.
Peraturan yang sama terpakai pada kunci yang ditampal dalam tiket, tangkapan skrin atau urutan sembang. Putaran ialah penyelesaiannya; pemadaman hanyalah kemas rumah.