Nije vam potreban privatni ključ za otklanjanje grešaka na VPN-u

Zahtev zvuči razumno: pošaljite konfiguraciju da podrška vidi šta nije u redu. Tako i privatni ključevi završe u sistemima za tikete i zapisima ćaskanja. Konfiguracija je identitet, a ne dijagnostika, i osoba koja otklanja greške na vašem tunelu gotovo nikada ne treba onu polovinu koja dokazuje ko ste. Statusni izlaz odgovara na ista pitanja bez tog rizika.

Mit je da je konfiguracija jedini potpuni prikaz. Ona je najmanje siguran potpuni prikaz.

Mit: podršci treba konfiguracija

Podršci treba tekst greške, verzije klijenta i servera, endpoint, stanje rukovanja i redosled događaja. Sve je to status. Konfiguracija dodaje ključeve, a ključevi su ono što nekome drugom omogućava da bude vi. Predati konfiguraciju da biste popravili problem sa usmeravanjem je kao poslati pasoš poštom da objasnite odloženi let. Zahtev obično dolazi od nekoga ko nikada nije video vašu mrežu i traži ono što je najlakše priložiti.

Pošaljite najmanji izlaz koji odgovara na pitanje, a ne najveći koji možete naći.

Šta status zapravo prikazuje

WireGuardov wg show ispisuje interfejse, peerove, dozvoljene IP adrese, endpointe, poslednje rukovanje i brojače prenosa, a ne ispisuje privatni ključ. OpenVPN-ov statusni i log izlaz daje stanje veze i greške bez ugrađenih blokova ključa. Oboje je dovoljno da vidite da li se rukovanje završava, da li se brojači pomeraju i koji je peer u upotrebi, što wg priručnik dokumentuje kao statusni prikaz.

Ako pomoćnik traži konfiguraciju pre nego taj izlaz, pitajte šta bi konfiguracija pokazala što status ne pokazuje.

Gde se kriju tajne u svakom formatu

WireGuard konfiguracione datoteke sadrže PrivateKey linije, a javni ključevi peerova i metapodaci endpointa i dalje identifikuju čak i bez njih. OpenVPN profili mogu ugraditi <key> i <tls-crypt> blokove ili upućivati na zasebne datoteke koje putuju sa profilom. Klijentski arhiv podrške može sadržati mnogo više od onoga što prikazuje prozor zapisa, uključujući keširane profile za koje ste zaboravili da postoje. Snimci ekrana su drugo uobičajeno curenje, jer terminalski prozor prikazuje više od naredbe koju ste nameravali podeliti.

Pročitajte dokumentaciju o izvozu, pa otvorite datoteku. Izlaz označen kao dijagnostika nije nužno lišen bilo čega.

Redigujte, pa pošaljite pregledanu kopiju

Držite original na zaštićenom mestu i pošaljite pregledanu kopiju. Zamenite endpointe i javne ključeve stabilnim rezervisanim mestima kada prave vrednosti nisu potrebne i potpuno uklonite blokove privatnog ključa umesto da ih delimično zaklanjate. Delimično zaklanjanje base64 bloba i dalje je procurio ključ. Pročitajte datoteku još jednom pre nego ode, jer arhivi često nose drugu kopiju istog profila.

Koristite proveren kanal i proverite ko ga prima pre nego bilo šta priložite.

Ako je ključ već procurio

Brisanje poruke ne vraća kopije koje drugi već imaju. Rotirajte identitet kroz operaterov proces opoziva i zamene i tretirajte stari ključ kao kompromitovan od trenutka kada je poslat. Većina operatera brzo će zameniti identitet klijenta nakon što se izloženost prijavi, a prijava je deo koji ljudi odlažu.

Isto pravilo važi za ključ zalepljen u tiket, snimak ekrana ili chat nit. Rotacija je rešenje; brisanje je održavanje.