के VPN सार्वजनिक कुञ्जी साझा गर्न सकिन्छ? तीन कुरा जाँच्नुहोस्

तपाईं आफ्नो VPN सार्वजनिक कुञ्जी साथी, प्रदायक वा फोरमलाई दिन सक्नुहुन्छ, र सुरुङ चलिरहन्छ। तर निजी कुञ्जी भने, समर्थन कर्मचारीलाई पनि, त्यो कुञ्जीले प्रमाणित गर्ने पहिचान नसुम्पी दिन सक्नुहुन्न। निर्णय यति स्पष्ट रहनु दुर्लभ हुन्छ, किनकि मानिसहरू जोडीको कुन आधा हेरिरहेका छन् भन्नेमा अलमलिन्छन्, र किनकि केही परिनियोजनले सार्वजनिक मानलाई नामजस्तै व्यवहार गर्छन्। तीन जाँचले यसलाई टुंगो लगाउँछ: कुन आधा तपाईंसँग छ, परिनियोजनले यसलाई केसँग बाँध्छ, र प्रतिस्थापनको लागत कति हुन्छ।

पहिलो जाँच: जोडीको कुन आधा तपाईंको क्लिपबोर्डमा छ

असममित कुञ्जीहरू जोडीमा आउँछन्, र व्युत्पत्तिको दिशा नै मुख्य कुरा हो। WireGuard मा निजी कुञ्जी 32 अनियमित बाइट हो र सार्वजनिक कुञ्जी त्यसैबाट गणना गरिन्छ; उल्टो दिशामा सम्भव छैन। wg genkey निजी मान लेख्छ, wg pubkey सार्वजनिक मान निकाल्छ, र दोस्रो मात्र साथीलाई पठाइने सन्देशमा पर्छ।

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

प्रमाणपत्रको संसारले थप चलायमान भागहरूसँगै त्यही विभाजन प्रयोग गर्छ। सर्भर प्रमाणपत्रले सार्वजनिक कुञ्जी र नामहरू बोक्छ, र CA कहिल्यै नछोड्ने CA निजी कुञ्जीले हस्ताक्षर गरिन्छ। त्यो सर्भर प्रमाणित गर्ने क्लाइन्टलाई सार्वजनिक रहेको CA प्रमाणपत्र चाहिन्छ, र CA को निजी हस्ताक्षर कुञ्जीको कुनै प्रयोग हुँदैन।

कुन मान हातमा छ भन्ने निश्चित नभए फाइलनाम नभई चिन्ह खोज्नुहोस्। तलकोबाट सुरु हुने PEM ब्लक, -----BEGIN PRIVATE KEY-----, वा पुरानो BEGIN RSA PRIVATE KEY ढाँचा, गोप्य आधा हो। त्यो चिन्हबिना टाँस्न सकिने मान साझा गर्नको उम्मेदवार हो, अर्को दुई जाँचको अधीनमा।

दोस्रो जाँच: परिनियोजनले त्यो सार्वजनिक मान केसँग बाँध्छ

क्रिप्टोग्राफिक सुरक्षा र अनामता फरक गुण हुन्। WireGuard साथीको सार्वजनिक कुञ्जी परिनियोजनभित्र स्थिर पहिचानकर्ता हो: सर्भर कन्फिगले यसलाई सूचीबद्ध गर्छ, ह्यान्डशेकले यसको नाम लिन्छ, र लग पढ्ने प्रशासकले त्यो साथी जोडिँदा हरेक पटक उही स्ट्रिङ देख्छ। आफ्नो सेटअपबारे प्रश्नको छेउमा कुञ्जी पोस्ट गर्नुभयो भने, त्यो स्ट्रिङलाई पोस्टका बाँकी सबैसँग जोड्नुभयो।

प्रमाणपत्रहरू डिजाइनले नै पहिचान चुहाउँछन्। Subject र subject alternative name पढ्न सकिन्छ, र सार्वजनिक रूपमा विश्वास गरिने TLS प्रमाणपत्रका हकमा प्रमाणपत्र आफै खोज्न मिल्ने Certificate Transparency लगमा प्रकाशित हुन्छ। यीमध्ये कुनैले पनि निजी कुञ्जी खोल्दैन, र सबैले सम्बन्ध खोल्छ।

यहीँ परिनियोजनहरू फरक पर्छन्, र त्यसैले उत्तर निर्धारण गर्छ। प्रयोगशाला सर्भरमा एकपटक प्रयोग हुने परीक्षण साथी कम्पनीको साइट-देखि-साइट अन्त्यबिन्दु पहिचान गर्ने कुञ्जीभन्दा फरक वस्तु हो, बाइटहरू उस्तै देखिए पनि।

तेस्रो जाँच: के रद्द गर्न सकिन्छ, र कति छिटो

तेस्रो जाँचले दुई आधालाई पूर्ण रूपमा अलग गर्छ। प्रकाशित सार्वजनिक कुञ्जी आफ्नो तालिकाअनुसार बदल्न सकिन्छ। प्रकाशित निजी कुञ्जी फिर्ता लिन सकिँदैन: आफ्नो प्रतिलिपि मेटाउँदा पहिले लिइसकेका प्रतिलिपिलाई छुँदैन, र यसमा भरोसा गर्ने हरेक साथी अब बाहिरी मानिससँग भएको कुरामा भरोसा गर्छ।

रद्द गर्नु कन्फिगरेसन कार्य हो, क्रिप्टोग्राफिक होइन। WireGuard ले रद्दीकरण सूची दिँदैन, त्यसैले तपाईं साथीलाई हटाउनुहुन्छ:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN प्रमाणपत्रमा आधारित परिनियोजनले प्रमाणपत्र रद्द गर्छन् र सर्भरले साँच्चै crl-verify मार्फत जाँच्ने CRL प्रकाशित गर्छन्। त्यो निर्देशनबिना रद्दीकरण सूची केवल सजावट हो। दुवै अवस्थामा क्रम उही हो: प्रतिस्थापन जारी गर्नुहोस्, समर्थित माध्यमबाट वितरण गर्नुहोस्, अनि पुरानो पहिचान अवकाश दिनुहोस्।

तीन जाँचलाई एकै ठाउँमा मिसाउँदा आउने गल्तीहरू

अधिकांश वास्तविक चुहावट कसैले निजी कुञ्जी प्रकाशित गर्ने निर्णय होइन। ती फोरममा पूरै प्रोफाइल टाँसिनु हुन्: WireGuard .conf फाइलमा PrivateKey लाइन सहितको एउटा, .ovpn बन्डलभित्र इनलाइन कुञ्जी ब्लक सहितको अर्को, वा कुञ्जीको फाँट संयोगवश परेको क्लाइन्ट विन्डोको स्क्रिनसट। सार्वजनिक मान सायद ठीकै थियो; त्यो नठीक भागसँगै यात्रा गर्‍यो।

समर्थन कार्यप्रवाह दोस्रो स्रोत हो। कुनै पनि वैध प्रमाणीकरण चरणलाई तपाईंको निजी कुञ्जी चाहिँदैन, किनकि अर्को पक्षले आफूलाई चाहिने कुरा सार्वजनिक आधाबाट निकाल्छ। फारम वा व्यक्तिले निजी मान माग्दा सही उत्तर सार्वजनिक मान र त्यसलाई उत्पादन गर्ने स्थानीय आदेश हो।

लग र स्क्रिनसट एउटै वर्गमा पर्छन्। निदान आउटपुटले कुञ्जी सामग्री, सत्र पहिचानकर्ता र आन्तरिक ठेगाना बोक्न सक्छ, र एउटा प्रश्नको उत्तर पाउन ती सबै पोस्ट गर्नु सानो सुविधालाई ठूलो खुलासासँग साट्नु हो।

निजी मान चुहिएपछि पहिचान अवकाश दिनुहोस्

निजी मान साँच्चै बाहिर गयो भने त्यो पहिचान अवकाश भइसकेको मान्नुहोस्। नयाँ जोडी बनाउनुहोस्, साथीहरूले अपेक्षा गर्ने ठाउँमा सार्वजनिक आधा राख्नुहोस्, पुरानो साथी हटाउनुहोस् वा पुरानो प्रमाणपत्र रद्द गर्नुहोस्, र तपाईंले त्यो प्रकाशित गरेका ठाउँ जाँच्नुहोस्। आफ्नो नियन्त्रणबाहिरका प्रतिलिपि मेटाउन सकिँदैन, त्यसैले हटाउनु भूतकालको नभई भविष्यको कुरा हो।

अनि वितरण लेख्नुहोस्: कुन कुञ्जी कुन यन्त्रको, कससँग प्रतिलिपि छ, प्रतिस्थापन कसरी पुर्‍याइन्छ, र अवकाश भएको साथीलाई कसले हटाउँछ। यी नै मानिसले बिर्सने भाग हुन्, र चुहावट कति समय उपयोगी रहन्छ भन्ने तिनैले निर्धारण गर्छन्।