Stuur een VPN-bundel naar de juiste ontvanger, niet alleen een sleutel

Een partner stuurt een openbare sleutel en vraagt om een versleutelde bundel. De versleuteling zal werken, en kan een perfect beschermd bewijs helemaal bij iemand brengen die het niet zou mogen hebben. Geheimhouding en de identiteit van de ontvanger zijn twee verschillende vragen die door verschillende mechanismen worden beantwoord. Beantwoord beide voordat de bundel uw machine verlaat.

Twee verschillende vragen: geheimhouding en ontvanger

Versleuteling beantwoordt wie het bestand kan lezen, ervan uitgaande dat de sleutel bij de bedoelde persoon hoort. Een handtekening beantwoordt wie het heeft gemaakt, en zegt niets over vertrouwelijkheid, omdat een ondertekend bestand nog steeds leesbaar kan zijn. Een vingerafdruk identificeert een sleutel, en alleen een onafhankelijke controle verbindt die vingerafdruk met een persoon of rol. Eén daarvan voor de andere aanzien is de gebruikelijke fout bij een overdracht die zorgvuldig lijkt.

Het bestand heeft ook een levenscyclus: een link die verloopt beperkt latere ophaal, maar hij trekt geen bewijs in dat al is gedownload.

Verifieer de vingerafdruk buiten het kanaal

Haal de verwachte vingerafdruk uit een kanaal dat niet afhangt van het bericht dat u vraagt te versleutelen. Vergelijk hem daarna met wat de lokale sleutelring bevat.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

De vingerafdrukregels zijn de waarde om te vergelijken, en het tweede commando toont dezelfde identiteiten met hun volledige vingerafdrukken voor een tweede blik. Bevestig de volledige tekenreeks via een gesprek, een ondertekende inventaris of een beheerd registratierecord; een bekende weergavenaam bewijst niets. Als de sleutel aankwam in hetzelfde bericht dat de levering aanvroeg, is de vingerafdruk geen onafhankelijk bewijs. Importeer de sleutel pas na die controle, en versleutel naar de geverifieerde vingerafdruk in plaats van naar een naam.

Lever alleen het materiaal dat het apparaat nodig heeft

Inventariseer de bundel voordat u een transport kiest. Openbare gateway-instellingen en een openbaar vertrouwenscertificaat zijn configuratie, een persoonlijke clientsleutel is een geheim, en een ondertekeningssleutel van een uitgever is een heel ander goed. Waar het registratiemodel het toelaat, houdt u de persoonlijke sleutel op het apparaat en levert u alleen wat de registratie voltooit. Een VPN-client heeft de ondertekeningssleutel van de CA niet nodig om een server te valideren, en één gedeelde levende sleutel tussen partners maakt individuele intrekking onmogelijk.

Onderteken ook het artefact wanneer de ontvanger een vervanging moet opmerken, en houd de twee bewerkingen gescheiden in de instructies. Houd een bundel met meerdere bestanden in één archief, zodat de ontvanger niet de helft van een configuratie kan installeren en dan melden dat de gateway de identiteit weigert.

Sluit de levenscyclus na de levering

Leg de ontvanger, het apparaat, de configuratierevisie en de intrekkingsroute vast, maar nooit de persoonlijke waarde zelf. Bevestig dat de bedoelde persoon zich kan registreren en dat een andere identiteit wordt geweigerd. Als de bundel in verkeerde handen komt, vervang of trek het geaccepteerde geheim dan in via de uitgever, want het verwijderen van een bijlage maakt niets ongeldig dat al is gedownload. Een wachtwoordbeveiligd archief waarvan het wachtwoord via hetzelfde gesprek reist, is ook geen onafhankelijke controle.

Een overdracht is klaar wanneer de juiste identiteit actief is op het juiste apparaat, niet wanneer het versleutelde bestand met succes wordt geüpload.