Você não precisa da chave privada para depurar uma VPN

O pedido parece razoável: envie a configuração para o suporte ver o que está errado. É também assim que chaves privadas acabam em sistemas de tickets e registos de chat. Uma configuração é uma identidade, não um diagnóstico, e quem depura o seu túnel quase nunca precisa da metade que prova quem você é. A saída de estado responde às mesmas perguntas sem esse risco.

O mito é que uma configuração é a única visão completa. É a visão completa menos segura.

O mito: o suporte precisa da configuração

O suporte precisa do texto do erro, das versões de cliente e servidor, do endpoint, do estado do handshake e da ordem dos eventos. Tudo isso é estado. Uma configuração acrescenta chaves, e as chaves são o que permite a outra pessoa ser você. Entregar uma configuração para corrigir um problema de encaminhamento é como enviar o passaporte pelo correio para explicar um voo atrasado. O pedido costuma vir de alguém que nunca viu a sua rede e pede a coisa mais fácil de anexar.

Envie a saída mais pequena que responde à pergunta, não a maior que conseguir encontrar.

O que o estado realmente mostra

O wg show do WireGuard imprime interfaces, pares, IP permitidos, endpoints, o último handshake e contadores de transferência, e não imprime a chave privada. A saída de estado e de registo do OpenVPN dá o estado da ligação e os erros sem os blocos de chave incorporados. Ambas bastam para ver se um handshake se completa, se os contadores se movem e que par está em uso, o que o manual do wg documenta como vista de estado.

Se um ajudante pedir a configuração antes de pedir essa saída, pergunte o que a configuração mostraria que o estado não mostra.

Onde se escondem os segredos em cada formato

Os ficheiros de configuração do WireGuard contêm linhas PrivateKey, e as chaves públicas dos pares mais os metadados do endpoint continuam a identificar mesmo sem elas. Os perfis do OpenVPN podem incorporar blocos <key> e <tls-crypt> ou apontar para ficheiros separados que viajam com o perfil. O arquivo de suporte de um cliente pode conter muito mais do que a janela de registo mostra, incluindo perfis em cache de que se tinha esquecido. As capturas de ecrã são a outra fuga comum, porque uma janela de terminal mostra mais do que o comando que queria partilhar.

Leia a documentação de exportação e depois abra o ficheiro. Uma saída rotulada como diagnóstico não foi necessariamente limpa de nada.

Oculte os dados sensíveis e depois envie uma cópia revista

Guarde o original num local protegido e envie uma cópia revista. Substitua endpoints e chaves públicas por marcadores estáveis quando os valores reais não forem necessários, e remova os blocos de chave privada por completo em vez de os ocultar parcialmente. A ocultação parcial de um blob base64 continua a ser uma chave exposta. Leia o ficheiro mais uma vez antes de ele sair, porque os arquivos costumam levar uma segunda cópia do mesmo perfil.

Use um canal verificado e verifique quem o recebe antes de anexar seja o que for.

Se uma chave já foi exposta

Apagar a mensagem não recupera as cópias que outras pessoas já têm. Rode a identidade através do processo de revogação e substituição do operador e trate a chave antiga como comprometida desde o momento em que foi enviada. A maioria dos operadores substituirá rapidamente a identidade de um cliente assim que a exposição for reportada, e o relatório é precisamente a parte que as pessoas adiam.

A mesma regra aplica-se a uma chave colada num ticket, numa captura de ecrã ou num tópico de chat. A rotação é a solução; apagar é arrumação.