Tista' taqsam ċavetta pubblika VPN? Iċċekkja tliet affarijiet

Tista' tagħti ċ-ċavetta pubblika VPN tiegħek lil sieħeb, fornitur jew forum, u t-tunnel jibqa' jaħdem. Iċ-ċavetta privata ma tistax tagħtiha, lanqas lill-persunal ta' appoġġ, mingħajr ma tgħaddi l-identità li dik iċ-ċavetta tipprova. Id-deċiżjoni rari tibqa' daqshekk ċara, għax in-nies iħawdu liema nofs tal-par qed iħarsu lejh, u għax xi skjeramenti jittrattaw il-valur pubbliku bħala isem. Tliet verifiki jsolvu dan: liema nofs għandek, ma' xiex l-iskjerament jehmeż dan, u kemm jiswa s-sostituzzjoni.

Verifika waħda: liema nofs tal-par qiegħed fil-clipboard tiegħek

Ċavetti asimmetriċi jiġu f'pari, u d-direzzjoni tad-derivazzjoni hija l-punt kollu. Fil-WireGuard iċ-ċavetta privata hija 32 byte każwali u ċ-ċavetta pubblika tiġi kkalkulata minnha; fid-direzzjoni l-oħra mhux possibbli. wg genkey tikteb il-valur privat, wg pubkey tiddeduċi dak pubbliku, u t-tieni biss jispjega f'messaġġ lil sieħeb.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Id-dinja taċ-ċertifikati tuża l-istess qsim b'aktar partijiet mobbli. Ċertifikat tas-server iġorr ċavetta pubblika flimkien ma' ismijiet, u jiġi ffirmat b'ċavetta privata tal-CA li qatt ma tħalli s-CA. Klijent li jivverifika dak is-server jeħtieġ iċ-ċertifikat tas-CA, li huwa pubbliku, u m'għandu l-ebda użu għaċ-ċavetta privata tal-iffirmar tas-CA.

Jekk m'intix ċert liema valur qed iżżomm, fittex il-markatur u mhux l-isem tal-fajl. Blokk PEM li tibda b'-----BEGIN PRIVATE KEY-----, jew il-forma eqdem BEGIN RSA PRIVATE KEY, hija n-nofs sigriet. Valur li tista' tpejjep mingħajr dak il-markatur huwa kandidat għall-qsim, suġġett għaż-żewġ verifiki li jmiss.

Verifika tnejn: ma' xiex l-iskjerament jehmeż dak il-valur pubbliku

Is-sigurtà kriptografika u l-anonimità huma proprjetajiet differenti. Ċavetta pubblika ta' sieħeb WireGuard hija identifikatur stabbli fi ħdan l-iskjerament: il-konfigurazzjoni tas-server telenkilha, il-handshake isemmiha, u amministratur li jaqra l-logs jara l-istess string kull darba li dak is-sieħeb jgħaqqad. Ippubblika ċ-ċavetta ħdejn mistoqsija dwar is-setup tiegħek, u tkun rabtet dak l-string ma' kollox ieħor fil-post.

Iċ-ċertifikati jikxfu l-identità bid-disinn. Subject u subject alternative name jinqraw, u għaċ-ċertifikati TLS fdati pubblikament iċ-ċertifikat innifsu jiġi ppubblikat fil-logs ta' Certificate Transparency, li jistgħu jiġu mfittxija. Xejn minn dan ma jikxef ċavetta privata, u kollox minn dan jikxef relazzjoni.

Hawnhekk l-iskjeramenti jvarjaw, u dan jiddeċiedi t-tweġiba. Sieħeb tat-test li jintrema fuq server tal-laboratorju huwa oġġett differenti miċ-ċavetta li tidentifika l-punt tat-tarf bejn is-siti ta' kumpanija, għalkemm il-bytes jidhru identiċi.

Verifika tlieta: x'tista' tħassar, u kemm malajr

It-tielet verifika tifred iż-żewġ nofsijiet kompletament. Ċavetta pubblika li ġiet ippubblikata tista' tiġi sostitwita skont l-iskeda tiegħek. Ċavetta privata li ġiet ippubblikata ma tistax tissejjaħ lura: li tħassar il-kopja tiegħek ma jmissx kopji li diġà ttieħdu, u kull sieħeb li fdaha issa jafda f'xi ħaġa li għandha barrani.

Ir-revoka hija azzjoni ta' konfigurazzjoni, mhux kriptografika. WireGuard ma jfornix lista ta' revoka, għalhekk tneħħi s-sieħeb:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN skjeramenti mibnija fuq ċertifikati jirrevokaw iċ-ċertifikat u jippubblikaw CRL li s-server fil-fatt jiċċekkja permezz ta' crl-verify. Mingħajr dik id-direttiva l-lista ta' revoka hija biss ornament. Fiż-żewġ każijiet is-sekwenza hija l-istess: ħareġ sostitut, qassmu mill-kanal appoġġjat, imbagħad irtira l-identità l-qadima.

L-iżbalji li jiġu mill-għaqda tat-tliet verifiki

Il-biċċa l-kbira tat-tnixxijiet reali mhumiex persuna li tiddeċiedi tippubblika ċavetta privata. Huma profil sħiħ imqiegħed f'forum: fajl .conf WireGuard b'PrivateKey linja, .ovpn pakkett b'blokk taċ-ċavetta inline, jew screenshot ta' tieqa tal-klijent li jkun fiha l-qasam taċ-ċavetta. Il-valur pubbliku x'aktarx kien tajjeb; ivvjaġġa mal-parti li ma kinitx.

Il-flussi tax-xogħol tal-appoġġ huma t-tieni sors. L-ebda pass ta' verifika leġittimu m'għandu bżonn iċ-ċavetta privata tiegħek, għax in-naħa l-oħra tiddeduċi dak li teħtieġ min-nofs pubbliku. Meta formola jew persuna titlob il-valur privat, it-tweġiba korretta hija l-valur pubbliku flimkien mal-kmand lokali li jipproduċih.

Il-logs u l-iscreenshots jaqgħu fl-istess kategorija. L-output dijanjostiku jista' jġorr materjal taċ-ċavetta, identifikaturi tas-sessjoni u indirizzi interni, u li tippubblika kollox biex tingħata tweġiba għal mistoqsija waħda jbiddel ftit kumdità għal espożizzjoni akbar.

Wara li jnixxi valur privat, irtira l-identità

Jekk valur privat fil-fatt ħareġ, ittratta dik l-identità bħala rtirata. Iġġenera par ġdid, installa n-nofs pubbliku fejn is-sħab jistennewh, neħħi s-sieħeb l-antik jew irrevoka ċ-ċertifikat l-antik, u ċċekkja l-postijiet fejn ippubblikajtu. Ma tistax tħassar kopji li ma tikkontrollax, għalhekk it-tneħħija hija dwar il-futur, mhux il-passat.

Imbagħad ikteb id-distribuzzjoni: liema ċavetta tappartjeni għal liema apparat, min iżomm kopja, kif tinħareġ sostitut, u min ineħħi sieħeb irtirat. Dawn huma l-partijiet li n-nies jinsiew, u jiddeċiedu kemm tnixxija tibqa' utli.