Vaš profil VPN vsebuje zasebni ključ, ne le nastavitve

Vsak, ki prilepi profil VPN v nit foruma, izhaja iz istega prepričanja. Datoteka vsebuje le naslov strežnika in nekaj možnosti, zato je deliti se zdi kot deliti telefonsko številko. Nato nekdo to prebere in v četrti vrstici najde nešifriran zasebni ključ.

Profil ni dokumentacija o tunelu. To je identiteta tunela, izpisana.

Predmeti v datoteki nimajo enake stopnje tajnosti

Javno potrdilo CA je namenjeno potovanju. Zasebni ključ odjemalca ne. Ko se oba pojavita v isti datoteki, neboleči naredi celotno prilogo videti varno. To je past.

OpenVPN to zaradi svoje zasnove še poslabša. Omogoča vdelavo potrdil, ključev in avtentikacijskega gradiva neposredno. To je priročno za uvajanje in katastrofalno za deljenje. Datoteka, ki se začne z berljivim blokom potrdila, se nadaljuje v zasebno polovico.

WireGuard je glede tega bolj neposreden. Razdelek vmesnika nosi zasebni ključ, vsak peer pa lahko poleg nosi še predhodno deljeni ključ. Ni nobene dvoumnosti o tem, katere vrstice so pomembne. Skoraj vsaka vrstica je.

Posnetek zaslona je isto uhajanje v drugi obliki

Kodiranje konfiguracije kot koda QR je ne spremeni v predogled. Koda nosi iste bajte in vsaka kamera telefona v sobi jo lahko dekodira. Enako velja za posnetek okna za konfiguracijo odjemalca, kjer je ključ berljiv v kotu.

Avtentikacijske datoteke in navedene poti do ključev spadajo v isto revizijo. Profil, ki kaže na zunanjo datoteko, ni samodejno varnejši, ker lahko pot vodi nekam, kam lahko seže bralec. Žeton v avtentikacijski datoteki je enako uporaben kot geslo in le redko je videti tako.

Pošljite besedilo napake, ne ključa

Diagnoza potrebuje besedilo napake, različico odjemalca in imena preizkušenih možnosti. Ključa ne potrebuje. Napišite vprašanje s temi tremi stvarmi in zamenjajte vsako skrivnost in vsak nepotreben omrežni identifikator, preden datoteka zapusti vaš stroj.

Razdelek priročnika OpenVPN o vdelanih datotekah je koristen zemljevid, kje so ti predmeti. Opomni tudi, koliko jih lahko vsebuje en profil.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Nato preberite končno prilogo, namesto da bi zaupali svojemu spominu na urejanje. Ključi se skrivajo v poznejših blokih, v neurejenem komentarju in v vrstici, za katero ste odločili, da je strukturna.

Po izpostavitvi je rotacija edino popravilo

Brisanje objave ničesar ne prekliče. Kdor je datoteko prejel, ima še vedno veljavno poverilnico, zato jo mora izdajatelj preklicati ali zamenjati po lastnem postopku storitve. Odstranitev lokalne kopije na oddaljenem koncu ničesar ne spremeni.

Delovne profile shranjujte zaščiteno, zastarele uvožene vnose pa namerno odstranite, namesto da bi v mapi za prenose pustili tri kopije. Profil, ki ga ne uporabljate več, je še vedno poverilnica, dokler ni preklican.

Navada, ki se je vredno naučiti, je majhna. Preden kateri koli profil zapusti stroj, vprašajte, kaj je v njem poleg naslova, in odgovorite z branjem datoteke, ne s spominjanjem nanjo.