Rediger ein VPN-logg utan å miste spora som betyr noko

Du limer inn ein logg i ein støttetråd, eit svar peikar på at han inneheld den private nøkkelen din, og innliminga er permanent. Den stillare feilen viser seg seinare, når kvar adresse har blitt X og fila ikkje lenger bevisar at klienten og tenaren var ulike vertar. Ein redigeringsrunde fjernar det som gir tilgang eller namngir ein person, og held på det som forklarer feilen. Det er ei omforming med reglar, ikkje ei sletting med eit søkjefelt.

Redigering er ei omforming, ikkje ei sletting

Ein logg ber struktur så vel som verdiar: denne adressa snakka med den der, på dette tidspunktet, og handtrykket stoppa ved dette trinnet. Verdiane er det som gjer fila farleg å publisere. Strukturen er det som gjer ho verdt å publisere i det heile.

Å slette heile linjer fjernar begge delar på ein gong, og difor svarer ein trimma logg ofte ingenting. Å slå saman kvar verdi til eitt token feilar annleis, fordi to ulike peers blir éin einaste aktør. Begge rundane kan sjå ryddelege ut og likevel øydeleggje beviset. Testen er om ein lesar som aldri har sett nettverket ditt kan følgje sekvensen og nå den konklusjonen du nådde.

Fyrst eit utdrag, så strippe

Skjer ut avsnittet rundt feilen før du redigerer noko. Eit mindre utdrag er lettare å granske, og det ber mindre sannsynleg noko du hadde gløymt var i fila. Oppbevar det urørte originalen i verna lagring til saka er lukka. Redigering er tapande, og råfila er den einaste måten å svare på oppfølgingsspørsmålet.

Les utdraget som rein tekst før du stolar på at ein eksportkommando har strippa dei private delane, fordi eksportørar oppsummerer og roterer felt i staden for å reinske dei. Debug- og verbose-modus er det mest sannsynlege staden for ein nøkkelblokk eller ein innebygd påloggingsdetalj. Opne fila i ein editor som viser fulle linjer, ikkje i ein visar som bryt og skjuler halen.

Kva som må bort, og i kva rekkjefølgje

Start med materiale som gir tilgang, fordi eit mist treff der avsluttar øvinga: blokker med private nøklar, passord, førehandsdelinga nøklar, API-token, gjenopprettingskodar. Dei er ikkje berre identifiserande; dei er brukbare for alle som les tråden. Ein runde som fjernar alt anna og lèt ein av dei stå, har mislukkast.

Så identitetslaget: brukarnamn, sertifikatemne og serienummer, kontoidentifikatorar og kvar sti som inneheld namnet til ein person. Ingenting av det er brukbart åleine, men saman namngir det ein person, og det er den delen ein offentleg tråd ikkje treng.

Så topologilaget, og det er der skjønet kjem inn. Offentlege adresser, interne område og vertsnamn kan alle erstattast når avsløringa deira ikkje tener noko diagnostisk formål, og stabile etikettar slår tomme felt. Rekkjefølgja betyr noko fordi dei tidlegare laga er absolutte og det siste er ei avgjerd. Å arbeide i den rekkjefølgja hindrar deg òg i å bruke ein time på vertsnamn medan ein nøkkelblokk står på linje førti.

Ikkje øydelegg relasjonane

Gi kvar reell verdi éin plasshaldar og bruk han på nytt kvar gong verdien dukkar opp. Viss to adresser var ulike, må dei vere ulike etter runden òg, elles konkluderer lesaren med at klienten kopla til seg sjølv. Konsistens er heile mekanismen: lesaren lærer koplinga ved å sjå ein etikett kome tilbake. Eitt gjenbrukt token for to aktørar er den raskaste måten å gjere ein logg uleseleg på.

Rekkjefølgje og tid er ein del av den same strukturen. Hald sekvensen intakt, og viss du flyttar tidsstempel, flytt alle med same beløp og seie det på éi linje. Å blande endra og ekte tider er verre enn å fjerne dei, fordi hola då ser ut som bevis på noko som aldri skjedde.

Portar, protokoll og retning blir som dei er. Ein plasshaldar på adressa krev ingen plasshaldar på porten.

Hald på spørsmålet loggen må svare på

Skriv ned felta ein hjelpar treng før du byrjar å redigere: den nøyaktige, ikkje-hemmelege feilteksten, klient- og tenarversjonar, transport og kva side som starta forsøket. Det er dei som lèt ein framand kjenne att feilen. Å ha lista ved sida av seg gjer runden til ein sjekk i staden for eit håp.

Når du sender fila, legg til éi linje som seier kva som vart erstatta, slik at ingen brukar ein time på å diagnostisere eit plasshaldar-vertsnamn. OpenVPN sin dokumentasjon om diagnostiske loggar listar felta loggane deira ber, og det er nettopp den lista du er i ferd med å endre. Spør før du sender ein minnedump eller eit pakkeopptak, og bruk støttekanalen du kan verifisere. Desse artefakta inneheld langt meir enn tekstloggen, og noko av det er ikkje ditt å publisere.

Les det ferdige utdraget éin gong frå første til siste linje, inkludert byrjinga og slutten. Skjermbilete fortener meir mistanke enn tekst, fordi dei ber andre vindauge, kontonamn og menyelement.