Na ladenie VPN nepotrebujete súkromný kľúč
Export konfigurácie nie je diagnostika. Výstup stavu zobrazuje peerov, handshaky a verzie a nikdy neobsahuje súkromný kľúč, ktorý identifikuje vaše zariadenie.
Žiadosť znie rozumne: pošlite konfiguráciu, aby podpora videla, čo je zle. Takto sa aj súkromné kľúče dostanú do tiketovacích systémov a chatových protokolov. Konfigurácia je identita, nie diagnostika, a človek, ktorý ladí váš tunel, takmer nikdy nepotrebuje tú polovicu, ktorá dokazuje, kto ste. Výstup stavu odpovedá na rovnaké otázky bez tohto rizika.
Mýtus je, že konfigurácia je jediný úplný pohľad. Je to najmenej bezpečný úplný pohľad.
Mýtus: podpora potrebuje konfiguráciu
Podpora potrebuje text chyby, verzie klienta a servera, endpoint, stav handshake a poradie udalostí. To všetko je stav. Konfigurácia pridáva kľúče a kľúče sú to, čo niekomu inému umožní byť vami. Odovzdať konfiguráciu, aby ste opravili problém s routingom, je ako poslať poštou pas, aby ste vysvetlili meškanie letu. Žiadosť zvyčajne prichádza od niekoho, kto nikdy nevidel vašu sieť, a žiada vec, ktorú je najjednoduchšie priložiť.
Pošlite najmenší výstup, ktorý odpovedá na otázku, nie najväčší, aký nájdete.
Čo stav vlastne ukazuje
WireGuard wg show vypisuje rozhrania, peerov, povolené IP adresy, endpointy, posledný handshake a prenosové počítadlá a nevypisuje súkromný kľúč. Výstup stavu a logu OpenVPN dáva stav pripojenia a chyby bez vložených blokov kľúčov. Oboje stačí na to, aby ste videli, či sa handshake dokončí, či sa počítadlá hýbu a ktorý peer sa používa, čo manuál wg dokumentuje ako pohľad na stav.
Ak pomocník žiada konfiguráciu skôr než tento výstup, opýtajte sa, čo by konfigurácia ukázala, čo stav neukazuje.
Kde sa v každom formáte skrývajú tajomstvá
Konfiguračné súbory WireGuard obsahujú riadky PrivateKey a verejné kľúče peerov spolu s metadátami endpointu stále identifikujú aj bez nich. Profily OpenVPN môžu vkladať bloky <key> a <tls-crypt> alebo odkazovať na samostatné súbory, ktoré cestujú s profilom. Podporný archív klienta môže obsahovať oveľa viac, než ukazuje okno logu, vrátane kešovaných profilov, o ktorých ste zabudli, že existujú. Snímky obrazovky sú ďalším častým únikom, pretože okno terminálu ukazuje viac než príkaz, ktorý ste chceli zdieľať.
Prečítajte si dokumentáciu k exportu a potom otvorte súbor. Výstup označený ako diagnostika nemusí byť od čohokoľvek očistený.
Zredigujte a potom pošlite skontrolovanú kópiu
Originál uložte na chránenom mieste a posielajte skontrolovanú kópiu. Nahraďte endpointy a verejné kľúče stabilnými zástupnými hodnotami, keď skutočné hodnoty nie sú potrebné, a bloky súkromného kľúča úplne odstráňte namiesto čiastočného zakrývania. Čiastočné zakrytie bloku base64 je stále uniknutý kľúč. Prečítajte súbor ešte raz, než odíde, pretože archívy často nesú druhú kópiu toho istého profilu.
Použite overený kanál a pred priložením čohokoľvek skontrolujte, kto ho prijíma.
Ak kľúč už unikol
Vymazanie správy neobnoví kópie, ktoré už majú iní. Otočte identitu procesom odvolania a nahradenia u operátora a považujte starý kľúč za kompromitovaný od okamihu, keď bol odoslaný. Väčšina operátorov rýchlo nahradí identitu klienta, keď sa nahlási expozícia, a práve nahlásenie ľudia odkladajú.
Rovnaké pravidlo platí pre kľúč vložený do tiketu, snímky obrazovky alebo chatového vlákna. Rotácia je riešenie; mazanie je upratovanie.