Profili juaj VPN përmban një çelës privat, jo vetëm cilësime

Kushdo që ngjit një profil VPN në një thread forumi nis nga i njëjti besim. Skedari përmban vetëm një adresë serveri dhe disa opsione, kështu që ndarja e tij duket si ndarja e një numri telefoni. Më pas dikush e lexon dhe gjen një çelës privat të paenkriptuar në rreshtin e katërt.

Profili nuk është dokumentacion për tunelin. Është identiteti i tunelit, i shkruar.

Objektet në skedar nuk kanë të njëjtin nivel fshehtësie

Një certifikatë publike CA është menduar të udhëtojë. Një çelës privat klienti nuk është. Kur të dy shfaqen në të njëjtin skedar, ai i padëmshmi e bën të gjithë bashkëngjitjen të duket e sigurt. Ky është kurthi.

OpenVPN e përkeqëson këtë për nga dizajni. Lejon që certifikatat, çelësat dhe materiali i autentikimit të integrohen drejtpërdrejt. Kjo është e përshtatshme për vendosje dhe katastrofike për ndarje. Skedari që fillon me një bllok certifikate të lexueshëm vazhdon në gjysmën private.

WireGuard është më i drejtpërdrejtë. Seksioni i ndërfaqes mban një çelës privat, dhe çdo peer mund të mbajë sipër edhe një çelës të ndarë paraprakisht. Nuk ka paqartësi se cilat rreshta kanë rëndësi. Pothuajse çdo rresht ka.

Një pamje ekrani është e njëjta rrjedhje në një format tjetër

Kodimi i një konfigurimi si kod QR nuk e bën atë pamje paraprake. Kodi mban të njëjtat bajte, dhe çdo kamerë telefoni në dhomë mund ta dekodojë. E njëjta gjë vlen për një pamje ekrani të dritares së konfigurimit të një klienti, ku çelësi lexohet në qoshe.

Skedarët e autentikimit dhe shtigjet e çelësave të referuara i përkasin të njëjtit auditim. Një profil që tregon një skedar të jashtëm nuk është automatikisht më i sigurt, sepse shtegu mund të çojë diku ku një lexues mund të arrijë. Një token në një skedar autentikimi është po aq i përdorshëm sa një fjalëkalim, dhe rrallë duket si i tillë.

Dërgoni tekstin e gabimit, jo çelësin

Diagnoza ka nevojë për tekstin e gabimit, versionin e klientit dhe emrat e opsioneve të provuara. Nuk ka nevojë për çelësin. Shkruani pyetjen me këto tre gjëra, dhe zëvendësoni çdo sekret dhe çdo identifikues rrjeti të panevojshëm përpara se skedari të largohet nga makina juaj.

Seksioni i manualit të OpenVPN për skedarët e integruar është një hartë e dobishme e vendit ku ndodhen këto objekte. Ai gjithashtu kujton sa prej tyre mund të mbajë një profil i vetëm.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Pastaj lexoni bashkëngjitjen përfundimtare në vend që të mbështeteni në kujtesën tuaj për redaktimin. Çelësat fshihen në blloqe të mëvonshme, në një koment të pandryshuar dhe në një rresht që keni vendosur se është strukturor.

Pas ekspozimit, rrotullimi është i vetmi riparim

Fshirja e postimit nuk anulon asgjë. Kush e mori skedarin ende ka një kredencial të vlefshme, prandaj lëshuesi duhet ta anulojë ose ta zëvendësojë përmes procesit të vetë shërbimit. Heqja e një kopjeje lokale nuk ndryshon asgjë në skajin e largët.

Ruani profilet e punës me një metodë të mbrojtur, dhe hiqni me qëllim zërat e importuara të vjetruara në vend që të lini tre kopje në një dosje shkarkimesh. Një profil që nuk e përdorni më është ende një kredencial derisa të anulohet.

Zakoni që ia vlen të ndërtohet është i vogël. Para se çdo profil të largohet nga makina, pyesni çfarë tjetër ka në të përveç adresës, dhe përgjigjuni duke lexuar skedarin në vend që ta mbani mend.