Nu ai nevoie de cheia privată pentru a depana un VPN

Cererea sună rezonabil: trimite configurația ca suportul să vadă ce nu merge. Tot așa ajung cheile private în sistemele de tichete și în jurnalele de chat. O configurație este o identitate, nu un diagnostic, iar persoana care depanează tunelul tău aproape niciodată nu are nevoie de jumătatea care dovedește cine ești. Ieșirea de stare răspunde la aceleași întrebări fără acest risc.

Mitul este că o configurație este singura imagine completă. Este cea mai puțin sigură imagine completă.

Mitul: suportul are nevoie de configurație

Suportul are nevoie de textul erorii, de versiunile clientului și serverului, de endpoint, de starea strângerii de mână și de ordinea evenimentelor. Toate acestea sunt stare. O configurație adaugă chei, iar cheile sunt ceea ce îi permite altcuiva să fie tu. A preda o configurație pentru a repara o problemă de rutare este ca și cum ai trimite pașaportul prin poștă pentru a explica un zbor întârziat. Cererea vine de obicei de la cineva care nu ți-a văzut niciodată rețeaua și care cere lucrul cel mai ușor de atașat.

Trimite cea mai mică ieșire care răspunde la întrebare, nu cea mai mare pe care o găsești.

Ce arată de fapt starea

Comanda wg show a WireGuard afișează interfețe, parteneri, IP-uri permise, endpointuri, ultima strângere de mână și contoarele de transfer și nu afișează cheia privată. Ieșirea de stare și de jurnal a OpenVPN oferă starea conexiunii și erorile fără blocurile de chei încorporate. Ambele sunt suficiente pentru a vedea dacă o strângere de mână se finalizează, dacă contoarele se mișcă și ce partener este folosit, ceea ce manualul wg documentează ca vedere de stare.

Dacă un ajutor cere configurația înainte de a cere acea ieșire, întreabă ce ar arăta configurația ceea ce starea nu arată.

Unde se ascund secretele în fiecare format

Fișierele de configurare WireGuard conțin linii PrivateKey, iar cheile publice ale partenerilor plus metadatele endpointului identifică în continuare chiar și fără ele. Profilele OpenVPN pot încorpora blocuri <key> și <tls-crypt> sau pot indica fișiere separate care călătoresc împreună cu profilul. Arhiva de suport a unui client poate conține mult mai mult decât arată fereastra de jurnal, inclusiv profile din cache despre care ai uitat că există. Capturile de ecran sunt cealaltă scurgere obișnuită, pentru că o fereastră de terminal arată mai mult decât comanda pe care voiai să o partajezi.

Citește documentația de export, apoi deschide fișierul. O ieșire etichetată ca diagnostic nu a fost neapărat curățată de ceva.

Anonimizează, apoi trimite o copie verificată

Păstrează originalul într-un loc protejat și trimite o copie verificată. Înlocuiește endpointurile și cheile publice cu substituenți stabili când valorile reale nu sunt necesare și elimină complet blocurile de cheie privată în loc să le maschezi parțial. Mascarea parțială a unui bloc base64 este în continuare o cheie scursă. Citește fișierul încă o dată înainte să plece, pentru că arhivele poartă adesea o a doua copie a aceluiași profil.

Folosește un canal verificat și verifică cine îl primește înainte să atașezi ceva.

Dacă o cheie a scurs deja

Ștergerea mesajului nu recuperează copiile pe care alții le au deja. Rotește identitatea prin procesul de revocare și înlocuire al operatorului și tratează cheia veche ca fiind compromisă din momentul în care a fost trimisă. Majoritatea operatorilor vor înlocui rapid identitatea unui client după ce expunerea este raportată, iar raportarea este exact partea pe care oamenii o amână.

Aceeași regulă se aplică unei chei lipite într-un tichet, o captură de ecran sau un fir de chat. Rotația este soluția; ștergerea este curățenie.