Profilul tău VPN conține o cheie privată, nu doar setări

Adresele serverelor stau lângă chei private, secrete încorporate și tokenuri. Înainte de a lipi un profil într-un fir de asistență, află care linii sunt identitatea.

Oricine lipește un profil VPN într-un fir de forum pornește de la aceeași convingere. Fișierul conține doar o adresă de server și câteva opțiuni, așa că partajarea lui pare ca partajarea unui număr de telefon. Apoi cineva îl citește și găsește o cheie privată necriptată pe a patra linie.

Profilul nu este documentație despre tunel. Este identitatea tunelului, scrisă.

Obiectele din fișier nu au același nivel de secret

Un certificat CA public este făcut să călătorească. O cheie privată de client nu. Când ambele apar în același fișier, cel inofensiv face întregul atașament să pară sigur. Aceasta este capcana.

OpenVPN înrăutățește asta prin design. Permite încorporarea directă a certificatelor, cheilor și materialului de autentificare. Este comod pentru implementare și dezastruos pentru partajare. Fișierul care începe cu un bloc de certificat lizibil continuă în jumătatea privată.

WireGuard este mai direct. Secțiunea de interfață poartă o cheie privată, iar fiecare peer poate purta în plus o cheie partajată anterior. Nu există nicio ambiguitate cu privire la liniile care contează. Aproape fiecare linie contează.

O captură de ecran este aceeași scurgere în alt format

Codificarea unei configurații ca cod QR nu o transformă în previzualizare. Codul poartă aceiași octeți, iar orice cameră de telefon din cameră îl poate decoda. Același lucru este valabil pentru o captură a ferestrei de configurare a unui client, unde cheia este lizibilă în colț.

Fișierele de autentificare și căile de chei referite fac parte din același audit. Un profil care indică un fișier extern nu este automat mai sigur, deoarece calea poate duce undeva unde un cititor poate ajunge. Un token dintr-un fișier de autentificare este la fel de utilizabil ca o parolă și rareori arată astfel.

Trimite textul erorii, nu cheia

Diagnosticul are nevoie de textul erorii, de versiunea clientului și de numele opțiunilor încercate. Nu are nevoie de cheie. Scrie întrebarea cu aceste trei lucruri și înlocuiește fiecare secret și fiecare identificator de rețea inutil înainte ca fișierul să părăsească mașina ta.

Secțiunea din manualul OpenVPN despre fișierele încorporate este o hartă utilă a locului unde se află aceste obiecte. De asemenea, amintește câte poate conține un singur profil.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Apoi citește atașamentul final în loc să te bazezi pe memoria editării. Cheile se ascund în blocuri ulterioare, într-un comentariu needitat și într-o linie pe care ai decis că este structurală.

După expunere, rotația este singura reparație

Ștergerea postării nu revocă nimic. Cine a primit fișierul are încă o acreditare validă, de aceea emitentul trebuie să o revoce sau să o înlocuiască prin procesul propriu al serviciului. Eliminarea unei copii locale nu schimbă nimic la celălalt capăt.

Păstrează profilurile de lucru printr-o metodă protejată și elimină intenționat intrările importate învechite în loc să lași trei copii într-un folder de descărcări. Un profil pe care nu îl mai folosești rămâne o acreditare până când este revocat.

Obiceiul care merită construit este mic. Înainte ca vreun profil să părăsească mașina, întreabă ce altceva conține pe lângă adresă, și răspunde citind fișierul, nu amintindu-ți-l.

Articole similare