VPN-profilen din inneheld ein privat nøkkel, ikkje berre innstillingar

Alle som limer inn ein VPN-profil i ein forumtråd, startar frå den same overtydinga. Fila inneheld berre ei serveradresse og nokre få innstillingar, så det kjennest som å dele eit telefonnummer. Så les nokon ho og finn ein ukryptert privat nøkkel på fjerde linje.

Profilen er ikkje dokumentasjon om tunnelen. Han er identiteten til tunnelen, skriven ut.

Objekta i fila har ikkje same hemmeleghaldsnivå

Eit offentleg CA-sertifikat er meint å reise. Ein klients private nøkkel er ikkje det. Når begge viser seg i same fil, får den harmlause heile vedlegget til å sjå trygt ut. Det er fella.

OpenVPN gjer dette verre av design. Det tillèt sertifikat, nøklar og autentiseringsmateriale å bli bygde inn direkte. Det er praktisk for utrulling og katastrofalt for deling. Fila som byrjar med ein lesbar sertifikatblokk, held fram inn i den private halvdelen.

WireGuard er meir direkte. Grensesnittdelen ber ein privat nøkkel, og kvar peer kan i tillegg bere ein førehandsdelt nøkkel. Det er ingen uklarleik om kva linjer som betyr noko. Nesten kvar linje gjer det.

Eit skjermbilete er den same lekkasjen i eit anna format

Å kode ein konfigurasjon som ein QR-kode gjer han ikkje til ein førehandsvising. Koden ber dei same byta, og eit kva som helst telefonkamera i rommet kan dekode han. Det same gjeld eit skjermbilete av konfigurasjonsvindauget til ein klient, der nøkkelen er lesbar i hjørnet.

Autentiseringsfiler og refererte nøkkelstiar høyrer til same revisjon. Ein profil som peikar på ei ekstern fil, er ikkje automatisk tryggare, fordi stien kan føre ein stad der ein lesar kan kome. Eit token i ei autentiseringsfil er like brukande som eit passord, og det liknar sjeldan på eit.

Send feilteksten, ikkje nøkkelen

Diagnosen treng feilteksten, klientversjonen og namna på innstillingane som vart prøvde. Han treng ikkje nøkkelen. Skriv spørsmålet med desse tre tinga, og erstatt kvar løyndom og kvar unødvendig nettverksidentifikator før fila forlèt maskina di.

Avsnittet i OpenVPN-handboka om innebygde filer er eit nyttig kart over kvar desse objekta ligg. Det minner òg om kor mange ein einaste profil kan innehalde.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Les deretter det endelege vedlegget i staden for å stole på minnet ditt om redigeringa. Nøklar gøymer seg i seinare blokker, i ein uredigert kommentar og i ei linje du bestemte var strukturell.

Etter eksponering er rotasjon den einaste reparasjonen

Å slette innlegget kallar ikkje tilbake noko. Den som fekk fila, har framleis ei fungerande legitimering, og difor må utgivaren kalle ho tilbake eller erstatte ho gjennom den eigne prosessen til tenesta. Å fjerne ein lokal kopi endrar ingenting i den andre enden.

Oppbevar arbeidsprofilar med ein verna metode, og fjern utdaterte importerte oppføringar med vilje i staden for å leggje igjen tre kopiar i ei nedlastingsmappe. Ein profil du ikkje lenger brukar, er framleis ei legitimering til ho blir kalla tilbake.

Vana som er verdt å byggje, er lita. Før nokon profil forlèt maskina, spør kva anna som er i han utanom adressa, og svar ved å lese fila i staden for å hugse ho.