โปรไฟล์ VPN ของคุณมีคีย์ส่วนตัว ไม่ใช่แค่การตั้งค่า

ทุกคนที่วางโปรไฟล์ VPN ลงในกระทู้ฟอรัมเริ่มจากความเชื่อเดียวกัน ไฟล์มีเพียงที่อยู่เซิร์ฟเวอร์และตัวเลือกไม่กี่อย่าง การแชร์จึงรู้สึกเหมือนแชร์หมายเลขโทรศัพท์ จากนั้นมีคนอ่านมันและพบคีย์ส่วนตัวที่ไม่ได้เข้ารหัสอยู่ในบรรทัดที่สี่

โปรไฟล์ไม่ใช่เอกสารเกี่ยวกับอุโมงค์ แต่เป็นตัวตนของอุโมงค์ที่เขียนออกมา

วัตถุในไฟล์ไม่ได้มีระดับความลับเท่ากัน

ใบรับรอง CA สาธารณะมีไว้เดินทาง ส่วนคีย์ส่วนตัวของไคลเอนต์ไม่ได้มีไว้ เมื่อทั้งสองอยู่ในไฟล์เดียวกัน ตัวที่ไม่เป็นอันตรายทำให้ไฟล์แนบทั้งหมดดูปลอดภัย นั่นคือกับดัก

OpenVPN ทำให้แย่ลงโดยการออกแบบ เพราะอนุญาตให้ฝังใบรับรอง คีย์ และวัสดุยืนยันตัวตนไว้ในไฟล์โดยตรง สะดวกต่อการติดตั้งแต่หายนะต่อการแชร์ ไฟล์ที่เริ่มด้วยบล็อกใบรับรองที่อ่านได้จะดำเนินต่อไปยังครึ่งที่เป็นส่วนตัว

WireGuard ตรงไปตรงมากว่า ส่วนอินเทอร์เฟซมีคีย์ส่วนตัว และแต่ละ peer อาจมีคีย์ที่แชร์ไว้ล่วงหน้าอยู่ด้านบน ไม่มีความกำกวมว่าบรรทัดใดสำคัญ เกือบทุกบรรทัดสำคัญ

ภาพหน้าจอคือการรั่วไหลแบบเดียวกันในอีกรูปแบบ

การเข้ารหัสการกำหนดค่าเป็นคิวอาร์โค้ดไม่ได้ทำให้มันเป็นตัวอย่าง โค้ดบรรจุไบต์เดียวกัน และกล้องโทรศัพท์ใดก็ได้ในห้องสามารถถอดรหัสได้ เช่นเดียวกับภาพหน้าจอของหน้าต่างการกำหนดค่าของไคลเอนต์ ซึ่งคีย์อ่านได้ที่มุม

ไฟล์ยืนยันตัวตนและเส้นทางคีย์ที่อ้างถึงอยู่ในขอบเขตการตรวจสอบเดียวกัน โปรไฟล์ที่ชี้ไปยังไฟล์ภายนอกไม่ได้ปลอดภัยกว่าโดยอัตโนมัติ เพราะเส้นทางอาจไปถึงที่ที่ผู้อ่านเข้าถึงได้ โทเค็นในไฟล์ยืนยันตัวตนใช้ได้พอ ๆ กับรหัสผ่าน และแทบไม่เคยดูเหมือนรหัสผ่าน

ส่งข้อความข้อผิดพลาด ไม่ใช่คีย์

การวินิจฉัยต้องใช้ข้อความข้อผิดพลาด เวอร์ชันไคลเอนต์ และชื่อตัวเลือกที่ลองแล้ว ไม่ต้องใช้คีย์ เขียนคำถามด้วยสามสิ่งนี้ และแทนที่ทุกความลับและตัวระบุเครือข่ายที่ไม่จำเป็นก่อนไฟล์จะออกจากเครื่องของคุณ

ส่วนคู่มือของ OpenVPN เกี่ยวกับไฟล์ที่ฝังไว้เป็นแผนที่ที่มีประโยชน์ว่าวัตถุเหล่านั้นอยู่ที่ใด และยังเตือนว่าหนึ่งโปรไฟล์เก็บได้กี่รายการ

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

จากนั้นอ่านไฟล์แนบสุดท้ายแทนที่จะเชื่อความจำเกี่ยวกับการแก้ไข คีย์ซ่อนอยู่ในบล็อกถัด ๆ ไป ในคอมเมนต์ที่ไม่ได้ปกปิด และในบรรทัดที่คุณตัดสินว่าเป็นโครงสร้าง

หลังการเปิดเผย การหมุนคือการซ่อมแซมเดียว

การลบโพสต์ไม่ได้เพิกถอนอะไร ผู้ที่ได้รับไฟล์ยังมีข้อมูลรับรองที่ใช้งานได้ จึงเป็นเหตุให้ผู้ออกต้องเพิกถอนหรือเปลี่ยนผ่านกระบวนการของบริการเอง การลบสำเนาในเครื่องไม่เปลี่ยนอะไรที่ปลายทางไกล

เก็บโปรไฟล์ที่ใช้งานได้ด้วยวิธีที่ได้รับการป้องกัน และลบรายการที่นำเข้าซึ่งล้าสมัยโดยเจตนาแทนที่จะทิ้งสำเนาสามชุดไว้ในโฟลเดอร์ดาวน์โหลด โปรไฟล์ที่คุณไม่ใช้แล้วยังเป็นข้อมูลรับรองจนกว่าจะถูกเพิกถอน

นิสัยที่คุ้มค่าจะสร้างนั้นเล็ก ๆ ก่อนโปรไฟล์ใดจะออกจากเครื่อง ให้ถามว่ามีอะไรอีกในนั้นนอกจากที่อยู่ และตอบด้วยการอ่านไฟล์แทนการจำ