Ваш VPN профил садржи приватни кључ, а не само подешавања

Адресе сервера стоје поред приватних кључева, уграђених тајни и токена. Пре него што залепите профил у тему подршке, сазнајте који редови су идентитет.

Свако ко залепи VPN профил у форумску тему полази од истог уверења. Датотека садржи само адресу сервера и неколико опција, па се њено дељење осећа као дељење телефонског броја. Затим је неко прочита и пронађе нешифровани приватни кључ у четвртом реду.

Профил није документација о тунелу. Он је идентитет тунела, исписан.

Објекти у датотеци немају исти ниво тајности

Јавни CA сертификат је намењен путовању. Приватни кључ клијента није. Када се оба појаве у истој датотеци, безопасни чини цео прилог сигурним. То је замка.

OpenVPN то по дизајну погоршава. Дозвољава да се сертификати, кључеви и материјал за аутентификацију уграде директно. То је згодно за увођење и катастрофално за дељење. Датотека која почиње читљивим блоком сертификата наставља се у приватну половину.

WireGuard је отворенији о томе. Секција интерфејса носи приватни кључ, а сваки peer може поврх носити и унапред дељени кључ. Нема нејасноће око тога који су редови важни. Скоро сваки ред јесте.

Снимак екрана је исто цурење у другом формату

Кодирање конфигурације као QR кода не чини је прегледом. Код носи исте бајтове, и било која камера телефона у просторији може га декодирати. Исто важи за снимак екрана клијентовог прозора за конфигурацију, где је кључ читљив у углу.

Датотеке за аутентификацију и наведене путање до кључева припадају истој ревизији. Профил који показује на спољну датотеку није аутоматски сигурнији, јер путања може водити негде где читалац може доћи. Токен у датотеци за аутентификацију једнако је употребљив као лозинка, а ретко изгледа као она.

Пошаљите текст грешке, не кључ

Дијагноза захтева текст грешке, верзију клијента и називе опција које су испробане. Не захтева кључ. Напишите питање са те три ствари и замените сваку тајну и сваки непотребан мрежни идентификатор пре него што датотека напусти вашу машину.

Одељак OpenVPN приручника о уграђеним датотекама корисна је мапа где се ти објекти налазе. Он је и подсетник колико их један профил може садржати.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Затим прочитајте коначни прилог уместо да верујете свом памћењу измене. Кључеви се крију у каснијим блоковима, у нередокованом коментару и у реду за који сте одлучили да је структурни.

Након излагања, ротација је једини поправак

Брисање објаве ништа не опозива. Онај ко је примио датотеку још има исправне акредитиве, зато издавалац мора да их опозове или замени кроз сопствени процес услуге. Уклањање локалне копије не мења ништа на далеком крају.

Чувајте радне профиле заштићеном методом и намерно уклањајте застареле увезене ставке уместо да остављате три копије у фасцикли са преузимањима. Профил који више не користите још је приступни податак док се не опозове.

Навика коју вреди изградити је мала. Пре него што било који профил напусти машину, питајте шта још садржи осим адресе, и одговорите читањем датотеке, а не сећањем на њу.

Повезани чланци