Je hebt de privésleutel niet nodig om een VPN te debuggen

Het verzoek klinkt redelijk: stuur de configuratie zodat support kan zien wat er mis is. Zo belanden privésleutels ook in ticketsystemen en chatlogs. Een configuratie is een identiteit, geen diagnose, en wie je tunnel debugt heeft bijna nooit de helft nodig die bewijst wie je bent. Statusuitvoer beantwoordt dezelfde vragen zonder dat risico.

De mythe is dat een configuratie het enige volledige beeld is. Het is het minst veilige volledige beeld.

De mythe: support heeft de configuratie nodig

Support heeft de fouttekst, de client- en serverversies, het endpoint, de status van de handshake en de volgorde van gebeurtenissen nodig. Dat alles is status. Een configuratie voegt sleutels toe, en sleutels zijn wat iemand anders jou laat zijn. Een configuratie overhandigen om een routeringsprobleem op te lossen is als je paspoort opsturen om een vertraagde vlucht uit te leggen. Het verzoek komt meestal van iemand die je netwerk nooit heeft gezien en vraagt om het ding dat het makkelijkst is om bij te voegen.

Stuur de kleinste uitvoer die de vraag beantwoordt, niet de grootste die je kunt vinden.

Wat status echt laat zien

WireGuards wg show drukt interfaces, peers, toegestane IP's, endpoints, de laatste handshake en overdrachtstellers af, en het drukt de privésleutel niet af. De status- en loguitvoer van OpenVPN geeft verbindingsstatus en fouten zonder de ingebedde sleutelblokken. Beide zijn genoeg om te zien of een handshake voltooit, of tellers bewegen en welke peer in gebruik is, wat de wg-handleiding als statusweergave documenteert.

Als een helper om de configuratie vraagt voordat hij om die uitvoer vraagt, vraag dan wat de configuratie zou laten zien wat status niet laat zien.

Waar geheimen zich in elk formaat verstoppen

WireGuard-configuratiebestanden bevatten PrivateKey-regels, en openbare peersleutels plus endpointmetadata zijn nog steeds identificerend, zelfs zonder die regels. OpenVPN-profielen kunnen <key>- en <tls-crypt>-blokken insluiten of verwijzen naar aparte bestanden die met het profiel meereizen. Het supportarchief van een client kan veel meer bevatten dan het logvenster toont, inclusief gecachte profielen waarvan je was vergeten dat ze bestonden. Screenshots zijn het andere gangbare lek, omdat een terminalvenster meer toont dan het commando dat je wilde delen.

Lees de exportdocumentatie en open dan het bestand. Een uitvoer met het label diagnose is niet per se van iets ontdaan.

Redigeer en stuur dan een nagekeken kopie

Bewaar het origineel op een beschermde plek en stuur een nagekeken kopie. Vervang endpoints en openbare sleutels door stabiele plaatsaanduidingen wanneer de echte waarden niet nodig zijn, en verwijder privésleutelblokken volledig in plaats van ze gedeeltelijk te verbergen. Gedeeltelijk verbergen van een base64-blob is nog steeds een gelekt sleutel. Lees het bestand nog één keer voordat het weggaat, want archieven dragen vaak een tweede kopie van hetzelfde profiel.

Gebruik een geverifieerd kanaal en controleer wie het ontvangt voordat je iets bijvoegt.

Als een sleutel al is gelekt

Het bericht verwijderen haalt de kopieën die anderen al hebben niet terug. Roteer de identiteit via het intrekkings- en vervangingsproces van de operator, en behandel de oude sleutel als gecompromitteerd vanaf het moment dat die is verzonden. De meeste operators vervangen een clientidentiteit snel zodra de blootstelling is gemeld, en juist de melding is het deel dat mensen uitstellen.

Dezelfde regel geldt voor een sleutel die in een ticket, een screenshot of een chatthread is geplakt. Rotatie is de oplossing; verwijderen is opruimen.