Maaari bang ibahagi ang pampublikong key ng VPN? Suriin ang tatlong bagay

Maaari mong ibigay ang iyong pampublikong key ng VPN sa isang kapares, provider o forum, at patuloy na gumagana ang tunnel. Ang pribadong key ay hindi mo maaaring ibigay, kahit sa staff ng suporta, nang hindi ibinibigay ang pagkakakilanlang pinapatunayan ng key na iyon. Bihirang manatiling malinaw ang desisyon, dahil nalilito ang mga tao kung aling kalahati ng pares ang tinitignan nila, at dahil itinuturing ng ilang deployment ang pampublikong halaga bilang pangalan. Tatlong pagsusuri ang nagtatakda nito: aling kalahati ang mayroon ka, ano ang ikinakabit ng deployment dito, at magkano ang kapalit.

Pagsusuri isa: aling kalahati ng pares ang nasa clipboard mo

Dumarating nang pares ang asymmetric na key, at ang direksyon ng derivation ang buong usapan. Sa WireGuard ang pribadong key ay 32 random na byte at ang pampublikong key ay kinukuwenta mula rito; hindi posible sa kabilang direksyon. wg genkey isinusulat ang pribadong halaga, wg pubkey hinango ang pampubliko, at ang pangalawa lamang ang nababagay sa mensahe sa isang kapares.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Ginagamit ng mundo ng sertipiko ang parehong paghahati na may mas maraming gumagalaw na bahagi. Ang sertipiko ng server ay may pampublikong key at mga pangalan, at nilalagdaan ng pribadong key ng CA na hindi kailanman lumalabas sa CA. Ang kliyenteng nagbeberipika sa server na iyon ay nangangailangan ng sertipiko ng CA, na pampubliko, at wala itong gamit sa pribadong key na panlagda ng CA.

Kung hindi ka sigurado kung aling halaga ang hawak mo, hanapin ang marka sa halip na ang pangalan ng file. Ang PEM block na nagsisimula sa -----BEGIN PRIVATE KEY-----, o ang lumang BEGIN RSA PRIVATE KEY na anyo, ay ang lihim na kalahati. Ang halagang maaari mong i-paste nang walang markang iyon ay kandidato para sa pagbabahagi, alinsunod sa susunod na dalawang pagsusuri.

Pagsusuri dalawa: ano ang ikinakabit ng deployment sa pampublikong halagang iyon

Magkaibang katangian ang seguridad sa kriptograpiya at ang pagiging anonymous. Ang pampublikong key ng kapares sa WireGuard ay matatag na identifier sa loob ng deployment: inililista ito ng configuration ng server, pinapangalanan ito ng handshake, at ang administrador na nagbabasa ng log ay nakikita ang parehong string tuwing kumokonekta ang kapares na iyon. Kung ipo-post mo ang key sa tabi ng tanong tungkol sa setup mo, ikinabit mo ang string na iyon sa lahat ng iba pa sa post.

Ang mga sertipiko ay naglalantad ng pagkakakilanlan ayon sa disenyo. Nababasa ang Subject at subject alternative name, at para sa pampublikong pinagkakatiwalaang sertipiko ng TLS ang sertipiko mismo ay inilalathala sa mga log ng Certificate Transparency, na mahahanap. Wala sa mga ito ang naglalantad ng pribadong key, at lahat ng ito ay naglalantad ng ugnayan.

Dito nagkakaiba ang mga deployment, at iyon ang nagtatakda ng sagot. Ang isang beses na gamitin na test na kapares sa server ng laboratoryo ay ibang bagay kaysa sa key na tumutukoy sa site-to-site endpoint ng isang kumpanya, kahit magkapareho ang hitsura ng byte.

Pagsusuri tatlo: ano ang maaari mong bawiin, at gaano kabilis

Ang ikatlong pagsusuri ay ganap na naghihiwalay sa dalawang kalahati. Ang pampublikong key na nailathala ay maaaring palitan ayon sa iskedyul mo. Ang pribadong key na nailathala ay hindi na maibabalik: ang pagbura ng kopya mo ay hindi umaabot sa mga kopyang nakuha na, at bawat kapares na nagtiwala rito ay nagtitiwala na ngayon sa isang bagay na hawak ng tagalabas.

Ang pagbawi ay aksyon sa configuration, hindi kriptograpiko. Walang ibinibigay na listahan ng pagbawi ang WireGuard, kaya inaalis mo ang kapares:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN ang mga deployment na nakabatay sa sertipiko ay nagbabawi ng sertipiko at naglalathala ng CRL na talagang sinusuri ng server sa pamamagitan ng crl-verify. Kung walang direktibang iyon, ang listahan ng pagbawi ay palamuti lamang. Sa alinmang kaso pareho ang pagkakasunod-sunod: maglabas ng kapalit, ipamahagi ito sa sinusuportahang channel, pagkatapos ay iretiro ang lumang pagkakakilanlan.

Ang mga pagkakamaling nagmumula sa pagsasama ng tatlong pagsusuri

Karamihan sa tunay na pagtagas ay hindi pagpapasya ng isang tao na ilathala ang pribadong key. Ito ay buong profile na naka-paste sa isang forum: isang .conf WireGuard na may PrivateKey linya, isang .ovpn bundle na may naka-inline na bloke ng key, o screenshot ng window ng kliyente na nagkataong may field ng key. Ang pampublikong halaga ay malamang maayos; naglakbay ito kasama ng bahaging hindi maayos.

Ang mga workflow ng suporta ang ikalawang pinagmulan. Walang lehitimong hakbang sa beripikasyon ang nangangailangan ng pribadong key mo, dahil hinahango ng kabilang panig ang kailangan nito mula sa pampublikong kalahati. Kapag may form o tao na humihingi ng pribadong halaga, ang tamang sagot ay ang pampublikong halaga at ang lokal na command na gumagawa nito.

Ang mga log at screenshot ay kabilang sa parehong kategorya. Ang diagnostic na output ay maaaring magdala ng materyal ng key, session identifier at panloob na address, at ang pag-post ng lahat ng iyon para makakuha ng sagot sa isang tanong ay nagpapalit ng maliit na kaginhawahan sa mas malaking pagkakalantad.

Pagkatapos tumagas ang pribadong halaga, iretiro ang pagkakakilanlan

Kung talagang lumabas ang pribadong halaga, ituring na retirado ang pagkakakilanlang iyon. Gumawa ng bagong pares, i-install ang pampublikong kalahati kung saan ito inaasahan ng mga kapares, alisin ang lumang kapares o bawiin ang lumang sertipiko, at suriin ang mga lugar kung saan mo ito inilathala. Hindi mo mabubura ang mga kopyang hindi mo kontrolado, kaya ang pag-alis ay tungkol sa hinaharap, hindi sa nakaraan.

Pagkatapos, isulat ang distribusyon: aling key ang pag-aari ng aling device, sino ang may kopya, paano inihahatid ang kapalit, at sino ang nag-aalis ng retiradong kapares. Ito ang mga bahaging nakakalimutan ng mga tao, at sila ang nagtatakda kung gaano katagal mananatiling kapaki-pakinabang ang isang pagtagas.