Чтобы отлаживать VPN, закрытый ключ не нужен

Запрос звучит разумно: пришлите конфигурацию, чтобы поддержка увидела, что не так. Именно так закрытые ключи и попадают в системы заявок и журналы чатов. Конфигурация — это удостоверение личности, а не диагностика, и человеку, который отлаживает ваш туннель, почти никогда не нужна та половина, которая доказывает, кто вы. Вывод состояния отвечает на те же вопросы без этого риска.

Миф в том, что конфигурация — единственный полный вид. Это наименее безопасный полный вид.

Миф: поддержке нужна конфигурация

Поддержке нужны текст ошибки, версии клиента и сервера, конечная точка, состояние рукопожатия и порядок событий. Всё это — состояние. Конфигурация добавляет ключи, а ключи — это то, что позволяет кому-то другому быть вами. Передать конфигурацию, чтобы исправить проблему маршрутизации, — это как отправить паспорт по почте, чтобы объяснить задержку рейса. Запрос обычно приходит от того, кто никогда не видел вашу сеть, и просит то, что проще всего приложить.

Пришлите самый короткий вывод, который отвечает на вопрос, а не самый большой, который найдёте.

Что на самом деле показывает состояние

Команда wg show в WireGuard выводит интерфейсы, пиров, разрешённые IP-адреса, конечные точки, последнее рукопожатие и счётчики передачи, а закрытый ключ не выводит. Вывод состояния и журнала OpenVPN даёт состояние соединения и ошибки без встроенных блоков ключей. И того и другого достаточно, чтобы увидеть, завершается ли рукопожатие, двигаются ли счётчики и какой пир используется, что руководство wg документирует как вид состояния.

Если помощник просит конфигурацию раньше этого вывода, спросите, что конфигурация показала бы такого, чего состояние не показывает.

Где в каждом формате прячутся секреты

Файлы конфигурации WireGuard содержат строки PrivateKey, а открытые ключи пиров и метаданные конечной точки всё равно идентифицируют даже без них. Профили OpenVPN могут встраивать блоки <key> и <tls-crypt> или указывать на отдельные файлы, которые путешествуют вместе с профилем. Архив поддержки клиента может содержать гораздо больше, чем показывает окно журнала, включая кэшированные профили, о существовании которых вы забыли. Скриншоты — другая частая утечка, потому что окно терминала показывает больше, чем команда, которой вы хотели поделиться.

Прочитайте документацию по экспорту, затем откройте файл. Вывод с пометкой «диагностика» не обязательно очищен от чего-либо.

Отредактируйте, затем отправьте проверенную копию

Храните оригинал в защищённом месте и отправляйте проверенную копию. Заменяйте конечные точки и открытые ключи стабильными заполнителями, когда настоящие значения не нужны, а блоки закрытого ключа удаляйте полностью, а не маскируйте частично. Частичная маскировка блока base64 — это всё ещё утёкший ключ. Прочитайте файл ещё раз перед отправкой, потому что архивы часто несут вторую копию того же профиля.

Используйте проверенный канал и проверьте, кто его получает, прежде чем что-либо прикреплять.

Если ключ уже утёк

Удаление сообщения не возвращает копии, которые уже есть у других. Прокрутите удостоверение через процедуру отзыва и замены у оператора и считайте старый ключ скомпрометированным с момента отправки. Большинство операторов быстро заменят удостоверение клиента, как только об утечке сообщат, и именно сообщение люди и откладывают.

То же правило действует для ключа, вставленного в заявку, скриншот или ветку чата. Ротация — это решение; удаление — это уборка.