A mund të ndahet një çelës publik VPN? Kontrollo tri gjëra

Mund ta japësh çelësin tënd publik VPN një kolegu, një ofruesi ose një forumi, dhe tuneli vazhdon të funksionojë. Çelësin privat nuk mund ta dorëzosh, as te stafi i mbështetjes, pa dorëzuar identitetin që ai çelës provon. Vendimi rrallë mbetet kaq i pastër, sepse njerëzit ngatërrojnë cilën gjysmë të çiftit po shohin, dhe sepse disa vendosje e trajtojnë vlerën publike si emër. Tri kontrolle e zgjidhin: cilën gjysmë ke, me çfarë e lidh vendosja, dhe sa kushton zëvendësimi.

Kontrolli një: cila gjysmë e çiftit është në kujtesën tënde

Çelësat asimetrikë vijnë në çifte, dhe drejtimi i nxjerrjes është e gjithë çështja. Në WireGuard çelësi privat është 32 bajt të rastësishëm dhe çelësi publik llogaritet prej tij; në drejtimin e kundërt nuk mundet. wg genkey shkruan vlerën private, wg pubkey nxjerr atë publike, dhe vetëm e dyta hyn në një mesazh për një koleg.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Bota e certifikatave përdor të njëjtën ndarje me më shumë pjesë lëvizëse. Një certifikatë serveri mban një çelës publik plus emra, dhe nënshkruhet nga një çelës privat i CA që nuk largohet kurrë nga CA. Një klient që verifikon atë server ka nevojë për certifikatën e CA, e cila është publike, dhe nuk ka asnjë përdorim për çelësin privat të nënshkrimit të CA.

Nëse nuk je i sigurt se cilën vlerë mban, kërko shenjën dhe jo emrin e skedarit. Një bllok PEM që fillon me -----BEGIN PRIVATE KEY-----, ose forma më e vjetër BEGIN RSA PRIVATE KEY, është gjysma e fshehtë. Një vlerë që mund ta ngjitësh pa atë shenjë është kandidat për ndarje, në varësi të dy kontrolleve të radhës.

Kontrolli dy: me çfarë e lidh vendosja atë vlerë publike

Siguria kriptografike dhe anonimiteti janë veti të ndryshme. Çelësi publik i një kolegu WireGuard është identifikues i qëndrueshëm brenda vendosjes: konfigurimi i serverit e liston, shtrëngimi i duarve e emërton, dhe administratori që lexon regjistrat sheh të njëjtin varg sa herë që ai koleg lidhet. Nëse çelësin e poston pranë një pyetjeje për konfigurimin tënd, e ke lidhur atë varg me gjithçka tjetër në postim.

Certifikatat zbulojnë identitetin nga vetë ndërtimi. Subject dhe subject alternative name lexohen, dhe për certifikatat TLS të besuara publikisht vetë certifikata publikohet në regjistrat Certificate Transparency, që janë të kërkueshëm. Asgjë nga kjo nuk zbulon një çelës privat, dhe gjithçka prej saj zbulon një marrëdhënie.

Këtu ndryshojnë vendosjet, dhe kjo e vendos përgjigjen. Një koleg testues i përdorshëm një herë në një server laboratori është objekt tjetër nga çelësi që identifikon pikën fundore site-to-site të një kompanie, ndonëse bajtët duken identikë.

Kontrolli tre: çfarë mund të revokosh, dhe sa shpejt

Kontrolli i tretë i ndan plotësisht dy gjysmat. Një çelës publik i publikuar mund të zëvendësohet sipas planit tënd. Një çelës privat i publikuar nuk mund të tërhiqet: fshirja e kopjes tënde nuk prek kopjet e marra më parë, dhe çdo koleg që i besonte beson tani diçka që e mban një i jashtëm.

Revokimi është veprim konfigurimi, jo kriptografik. WireGuard nuk ofron listë revokimi, prandaj kolegun e heq:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN vendosjet e ndërtuara mbi certifikata revokojnë certifikatën dhe publikojnë një CRL që serveri vërtet e kontrollon përmes crl-verify. Pa atë direktivë lista e revokimit është thjesht zbukurim. Në të dyja rastet sekuenca është e njëjtë: lësho një zëvendësim, shpërndaje përmes kanalit të mbështetur, pastaj tërhiq identitetin e vjetër.

Gabimet që vijnë nga bashkimi i tri kontrolleve

Shumica e rrjedhjeve reale nuk janë një person që vendos të publikojë një çelës privat. Ato janë një profil i tërë i ngjitur në një forum: një .conf WireGuard me një rresht PrivateKey, një paketë .ovpn me një bllok çelësi të brendshëm, ose një pamje ekrani e dritares së klientit që përfshin rastësisht fushën e çelësit. Vlera publike me gjasë ishte në rregull; ajo udhëtoi bashkë me pjesën që nuk ishte.

Rrjedhat e mbështetjes janë burimi i dytë. Asnjë hap legitimit i verifikimit nuk ka nevojë për çelësin tënd privat, sepse pala tjetër nxjerr atë që i duhet nga gjysma publike. Kur një formular ose një person kërkon vlerën private, përgjigjja e saktë është vlera publike plus komanda lokale që e prodhon.

Regjistrat dhe pamjet e ekranit i përkasin të njëjtës kategori. Prodhimi diagnostikues mund të mbajë material çelësi, identifikues sesioni dhe adresa të brendshme, dhe publikimi i gjithë kësaj për të marrë përgjigje për një pyetje shkëmben një komoditet të vogël për një ekspozim më të madh.

Pasi rrjedh një vlerë private, tërhiq identitetin

Nëse një vlerë private doli vërtet, trajtoje atë identitet si të tërhequr. Gjenero një çift të ri, instalo gjysmën publike aty ku kolegët e presin, hiq kolegun e vjetër ose revoko certifikatën e vjetër, dhe kontrollo vendet ku e publikove. Nuk mund të fshish kopje që nuk i kontrollon, prandaj heqja ka të bëjë me të ardhmen, jo me të shkuarën.

Pastaj shkruaj shpërndarjen: cili çelës i takon cilit pajisje, kush mban një kopje, si dorëzohet një zëvendësim, dhe kush heq një koleg të tërhequr. Këto janë pjesët që njerëzit harrojnë, dhe ato vendosin sa gjatë mbetet i dobishëm një rrjedhje.