Váš profil VPN obsahuje súkromný kľúč, nielen nastavenia

Každý, kto vloží profil VPN do vlákna fóra, vychádza z rovnakého presvedčenia. Súbor obsahuje len adresu servera a niekoľko možností, takže jeho zdieľanie pôsobí ako zdieľanie telefónneho čísla. Potom ho niekto prečíta a v štvrtom riadku nájde nešifrovaný súkromný kľúč.

Profil nie je dokumentácia o tuneli. Je to identita tunela, vypísaná.

Objekty v súbore nemajú rovnakú úroveň utajenia

Verejný certifikát CA má cestovať. Súkromný kľúč klienta nie. Keď sa oba objavia v tom istom súbore, ten neškodný robí celú prílohu bezpečnou. To je pasca.

OpenVPN to svojím dizajnom zhoršuje. Umožňuje vložiť certifikáty, kľúče a autentifikačný materiál priamo. To je pohodlné pri nasadení a katastrofálne pri zdieľaní. Súbor, ktorý začína čitateľným blokom certifikátu, pokračuje do súkromnej polovice.

WireGuard je otvorenejší. Sekcia rozhrania nesie súkromný kľúč a každý peer môže navrch niesť aj vopred zdieľaný kľúč. Nie je žiadna nejasnosť o tom, ktoré riadky sú dôležité. Takmer každý riadok je.

Snímka obrazovky je ten istý únik v inom formáte

Kódovanie konfigurácie ako QR kód z nej nerobí náhľad. Kód nesie rovnaké bajty a ktorákoľvek kamera telefónu v miestnosti ho dokáže dekódovať. To isté platí pre snímku okna konfigurácie klienta, kde je kľúč čitateľný v rohu.

Autentifikačné súbory a odkazované cesty ku kľúčom patria do rovnakého auditu. Profil, ktorý ukazuje na externý súbor, nie je automaticky bezpečnejší, pretože cesta môže viesť niekam, kam sa čitateľ dostane. Token v autentifikačnom súbore je rovnako použiteľný ako heslo a málokedy tak vyzerá.

Pošlite text chyby, nie kľúč

Diagnóza potrebuje text chyby, verziu klienta a názvy vyskúšaných možností. Kľúč nepotrebuje. Napíšte otázku s týmito tromi vecami a nahraďte každé tajomstvo a každý zbytočný sieťový identifikátor, kým súbor opustí váš stroj.

Sekcia manuálu OpenVPN o vložených súboroch je užitočná mapa, kde sa tieto objekty nachádzajú. Pripomína aj, koľko ich jeden profil môže obsahovať.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Potom si prečítajte konečnú prílohu, namiesto toho, aby ste dôverovali svojej pamäti úpravy. Kľúče sa skrývajú v neskorších blokoch, v neredigovanom komentári a v riadku, ktorý ste rozhodli, že je štrukturálny.

Po vyzradení je rotácia jediná oprava

Odstránenie príspevku nič neodvolá. Kto súbor dostal, má stále funkčné poverenie, preto ho vydavateľ musí odvolať alebo nahradiť prostredníctvom vlastného procesu služby. Odstránenie lokálnej kópie nič nemení na vzdialenom konci.

Pracovné profily ukladajte chráneným spôsobom a zastarané importované položky zámerne odstraňujte, namiesto toho, aby ste nechávali tri kópie v priečinku sťahovania. Profil, ktorý už nepoužívate, je stále poverením, kým nie je odvolaný.

Návyk, ktorý stojí za to budovať, je malý. Skôr než akýkoľvek profil opustí stroj, opýtajte sa, čo iné v ňom je okrem adresy, a odpovedzte čítaním súboru, nie spomínaním naň.