Envie o pacote VPN para o destinatário certo, não apenas uma chave

Um parceiro envia uma chave pública e pede um pacote cifrado. A cifra funcionará, e pode entregar uma credencial perfeitamente protegida a alguém que não a devia ter. O sigilo e a identidade do destinatário são duas perguntas diferentes a que respondem mecanismos diferentes. Responda às duas antes de o pacote sair da sua máquina.

Duas perguntas diferentes: sigilo e destinatário

A cifra responde a quem pode ler o ficheiro, partindo do princípio de que a chave pertence à pessoa pretendida. Uma assinatura responde a quem o produziu e não diz nada sobre confidencialidade, porque um ficheiro assinado pode continuar legível. Uma impressão digital identifica uma chave, e só uma verificação independente liga essa impressão digital a uma pessoa ou função. Tratar qualquer uma destas como as outras é a falha habitual numa entrega que parece cuidadosa.

O ficheiro também tem um ciclo de vida: uma ligação que expira limita a obtenção posterior, mas não revoga uma credencial que já foi descarregada.

Verifique a impressão digital fora do canal

Obtenha a impressão digital esperada de um canal que não dependa da mensagem que lhe pede para cifrar. Depois compare-a com o que o porta-chaves local contém.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

As linhas da impressão digital são o valor a comparar, e o segundo comando mostra as mesmas identidades com as impressões digitais completas para uma segunda olhadela. Confirme a cadeia completa através de uma chamada, de um inventário assinado ou de um registo de inscrição gerido; um nome de apresentação familiar não prova nada. Se a chave chegou na mesma mensagem que pediu a entrega, a impressão digital não é prova independente. Importe a chave só depois dessa verificação e cifre para a impressão digital verificada, não para um nome.

Entregue apenas o material de que o dispositivo precisa

Inventarie o pacote antes de escolher um transporte. As definições públicas do gateway e um certificado de confiança público são configuração, uma chave privada de cliente é um segredo, e uma chave de assinatura de um emissor é um ativo completamente diferente. Onde o modelo de inscrição o permite, mantenha a chave privada no dispositivo e entregue apenas o que conclui a inscrição. Um cliente VPN não precisa da chave de assinatura da CA para validar um servidor, e uma chave viva partilhada entre parceiros torna impossível a revogação individual.

Assine também o artefacto quando o destinatário tem de detetar uma substituição, e mantenha as duas operações separadas nas instruções. Mantenha um pacote de vários ficheiros num único arquivo, para que o destinatário não possa instalar metade de uma configuração e depois relatar que o gateway rejeita a identidade.

Feche o ciclo de vida após a entrega

Registe o destinatário, o dispositivo, a revisão da configuração e o caminho de revogação, mas nunca o valor privado em si. Confirme que a pessoa pretendida se pode inscrever e que outra identidade é recusada. Se o pacote chegar a mãos erradas, substitua ou revogue o segredo aceite através do seu emissor, porque apagar um anexo não invalida nada que já tenha sido descarregado. Um arquivo protegido por palavra-passe cuja palavra-passe viaja na mesma conversa também não é uma verificação independente.

Uma entrega termina quando a identidade correta está ativa no dispositivo correto, não quando o ficheiro cifrado é carregado com sucesso.