Отправляйте VPN-пакет правильному получателю, а не просто ключ

Партнёр присылает открытый ключ и просит зашифрованный пакет. Шифрование сработает и может доставить безупречно защищённые учётные данные тому, кому они не положены. Секретность и личность получателя — два разных вопроса, на которые отвечают разные механизмы. Ответьте на оба, прежде чем пакет покинет вашу машину.

Два разных вопроса: секретность и получатель

Шифрование отвечает, кто может прочитать файл, при условии, что ключ принадлежит нужному человеку. Подпись отвечает, кто его создал, и ничего не говорит о конфиденциальности, потому что подписанный файл может оставаться читаемым. Отпечаток идентифицирует ключ, и только независимая проверка связывает этот отпечаток с человеком или ролью. Считать одно из этого другим — обычная ошибка при передаче, которая выглядит аккуратной.

У файла есть и жизненный цикл: истекающая ссылка ограничивает последующее скачивание, но не отзывает учётные данные, которые уже скачаны.

Проверьте отпечаток вне канала

Получите ожидаемый отпечаток из канала, не зависящего от сообщения, которое просит вас шифровать. Затем сравните его с тем, что хранит локальная связка ключей.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Строки отпечатка — это значение для сравнения, а вторая команда показывает те же идентификаторы с полными отпечатками для второго взгляда. Подтвердите всю строку через звонок, подписанную опись или управляемую запись регистрации; знакомое отображаемое имя ничего не доказывает. Если ключ пришёл в том же сообщении, которое запросило передачу, его отпечаток не является независимым доказательством. Импортируйте ключ только после этой проверки и шифруйте на подтверждённый отпечаток, а не на имя.

Передавайте только тот материал, который нужен устройству

Составьте опись пакета, прежде чем выбирать транспорт. Публичные настройки шлюза и публичный сертификат доверия — это конфигурация, приватный ключ клиента — секрет, а ключ подписи издателя — совсем другой актив. Там, где модель регистрации позволяет, держите приватный ключ на устройстве и передавайте только то, что завершает регистрацию. VPN-клиенту не нужен ключ подписи CA, чтобы проверять сервер, и один общий живой ключ между партнёрами делает индивидуальный отзыв невозможным.

Подпишите также артефакт, когда получатель должен обнаружить подмену, и держите две операции в инструкциях раздельно. Держите пакет из нескольких файлов в одном архиве, чтобы получатель не мог установить половину конфигурации и затем сообщить, что шлюз отвергает личность.

Закройте жизненный цикл после передачи

Запишите получателя, устройство, ревизию конфигурации и путь отзыва, но никогда сам приватный секрет. Подтвердите, что нужный человек может зарегистрироваться, а другая личность отвергается. Если пакет попадёт не в те руки, замените или отзовите принятый секрет через его издателя, потому что удаление вложения не аннулирует то, что уже скачано. Архив, защищённый паролем, который путешествует в том же разговоре, тоже не независимая проверка.

Передача завершена, когда правильная личность активна на правильном устройстве, а не когда зашифрованный файл успешно загружен.