Trimiteți pachetul VPN destinatarului corect, nu doar o cheie

Un partener trimite o cheie publică și cere un pachet criptat. Criptarea va funcționa și poate livra un acreditiv perfect protejat cuiva care nu ar trebui să îl aibă. Confidențialitatea și identitatea destinatarului sunt două întrebări diferite la care răspund mecanisme diferite. Răspundeți la ambele înainte ca pachetul să părăsească mașina dumneavoastră.

Două întrebări diferite: confidențialitate și destinatar

Criptarea răspunde cine poate citi fișierul, presupunând că cheia aparține persoanei vizate. O semnătură răspunde cine l-a produs și nu spune nimic despre confidențialitate, pentru că un fișier semnat poate rămâne lizibil. O amprentă identifică o cheie, iar doar o verificare independentă leagă acea amprentă de o persoană sau un rol. Tratarea oricăreia dintre acestea ca celelalte este eșecul obișnuit într-o predare care pare atentă.

Fișierul are și un ciclu de viață: un link care expiră limitează recuperarea ulterioară, dar nu revocă un acreditiv care a fost deja descărcat.

Verificați amprenta în afara canalului

Obțineți amprenta așteptată dintr-un canal care nu depinde de mesajul care vă cere să criptați. Apoi comparați-o cu ce păstrează inelul de chei local.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Liniile amprentei sunt valoarea de comparat, iar a doua comandă arată aceleași identități cu amprentele complete pentru o a doua privire. Confirmați întregul șir printr-un apel, un inventar semnat sau o înregistrare de înscriere gestionată; un nume afișat familiar nu dovedește nimic. Dacă cheia a sosit în același mesaj care a cerut livrarea, amprenta ei nu este o dovadă independentă. Importați cheia doar după acea verificare și criptați către amprenta verificată, nu către un nume.

Livrați doar materialul de care are nevoie dispozitivul

Faceți un inventar al pachetului înainte de a alege un transport. Setările publice ale gateway-ului și un certificat public de încredere sunt configurație, o cheie privată de client este un secret, iar o cheie de semnare a unui emitent este un activ complet diferit. Acolo unde modelul de înscriere permite, păstrați cheia privată pe dispozitiv și livrați doar ce completează înscrierea. Un client VPN nu are nevoie de cheia de semnare a CA pentru a valida un server, și o singură cheie vie partajată între parteneri face imposibilă revocarea individuală.

Semnați și artefactul când destinatarul trebuie să detecteze o substituire, și țineți cele două operațiuni separate în instrucțiuni. Țineți un pachet cu mai multe fișiere într-o singură arhivă, ca destinatarul să nu poată instala jumătate de configurație și apoi să raporteze că gateway-ul refuză identitatea.

Închideți ciclul de viață după livrare

Înregistrați destinatarul, dispozitivul, revizia configurației și ruta de revocare, dar niciodată valoarea privată în sine. Confirmați că persoana vizată se poate înscrie și că o altă identitate este refuzată. Dacă pachetul ajunge în mâini greșite, înlocuiți sau revocați secretul acceptat prin emitentul său, pentru că ștergerea unui atașament nu invalidează nimic din ce a fost deja descărcat. Nici o arhivă protejată cu parolă a cărei parolă călătorește în aceeași conversație nu este o verificare independentă.

O predare este încheiată când identitatea corectă este activă pe dispozitivul corect, nu când fișierul criptat este încărcat cu succes.