Skicka ett VPN-paket till rätt mottagare, inte bara en nyckel

En partner skickar en offentlig nyckel och begär ett krypterat paket. Krypteringen kommer att fungera, och den kan leverera en perfekt skyddad legitimation till någon som inte borde ha den. Hemlighet och mottagarens identitet är två olika frågor som besvaras av olika mekanismer. Svara på båda innan paketet lämnar din maskin.

Två olika frågor: hemlighet och mottagare

Kryptering svarar på vem som kan läsa filen, förutsatt att nyckeln tillhör den avsedda personen. En signatur svarar på vem som skapade den, och säger ingenting om konfidentialitet eftersom en signerad fil fortfarande kan vara läsbar. Ett fingeravtryck identifierar en nyckel, och bara en oberoende kontroll knyter fingeravtrycket till en person eller roll. Att behandla någon av dessa som de andra är det vanliga felet i en överlämning som ser noggrann ut.

Filen har också en livscykel: en länk som löper ut begränsar senare hämtning, men den återkallar inte en legitimation som redan har laddats ner.

Verifiera fingeravtrycket utanför kanalen

Hämta det förväntade fingeravtrycket från en kanal som inte beror på meddelandet som ber dig kryptera. Jämför det sedan med vad den lokala nyckelringen innehåller.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Fingeravtrycksraderna är värdet att jämföra, och det andra kommandot visar samma identiteter med fullständiga fingeravtryck för en andra blick. Bekräfta hela strängen via ett samtal, en signerad inventering eller en hanterad registreringspost; ett bekant visningsnamn bevisar ingenting. Om nyckeln kom i samma meddelande som begärde leveransen är fingeravtrycket inte oberoende bevis. Importera nyckeln först efter den kontrollen, och kryptera till det verifierade fingeravtrycket i stället för till ett namn.

Leverera bara materialet som enheten behöver

Inventera paketet innan du väljer transport. Offentliga gateway-inställningar och ett offentligt förtroendecertifikat är konfiguration, en klients privata nyckel är en hemlighet, och en utfärdares signeringsnyckel är en helt annan tillgång. Där registreringsmodellen tillåter det, behåll den privata nyckeln på enheten och leverera bara det som fullbordar registreringen. En VPN-klient behöver inte CA:ns signeringsnyckel för att validera en server, och en delad levande nyckel mellan partner gör individuell återkallelse omöjlig.

Signera även artefakten när mottagaren måste upptäcka utbyte, och håll de två operationerna åtskilda i instruktionerna. Håll ett paket med flera filer i ett enda arkiv, så att mottagaren inte kan installera halva konfigurationen och sedan rapportera att gatewayen avvisar identiteten.

Stäng livscykeln efter leveransen

Registrera mottagaren, enheten, konfigurationsrevisionen och återkallelsevägen, men aldrig själva det privata värdet. Bekräfta att den avsedda personen kan registrera sig och att en annan identitet avvisas. Om paketet hamnar i fel händer, ersätt eller återkalla den accepterade hemligheten via dess utfärdare, eftersom borttagning av en bilaga inte ogiltigförklarar något som redan laddats ner. Ett lösenordsskyddat arkiv vars lösenord färdas i samma samtal är inte heller en oberoende kontroll.

En överlämning är klar när rätt identitet är aktiv på rätt enhet, inte när den krypterade filen laddas upp.