May pribadong key ang iyong VPN profile, hindi lang mga setting

Sinumang nag-paste ng VPN profile sa isang forum thread ay nagsisimula sa parehong paniniwala. Ang file ay may lamang address ng server at ilang opsyon, kaya ang pagbabahagi nito ay parang pagbabahagi ng numero ng telepono. Pagkatapos ay may magbabasa nito at makakakita ng hindi naka-encrypt na pribadong key sa ika-apat na linya.

Ang profile ay hindi dokumentasyon tungkol sa tunnel. Ito ay ang pagkakakilanlan ng tunnel, nakasulat.

Hindi pareho ang antas ng pagiging lihim ng mga bagay sa file

Ang pampublikong CA certificate ay para sa paglalakbay. Ang pribadong key ng kliyente ay hindi. Kapag pareho silang lumitaw sa isang file, ang hindi mapanganib ay nagpapakita sa buong attachment na parang ligtas. Iyon ang bitag.

OpenVPN ay nagpapalala nito sa disenyo. Pinapayagan nitong i-embed nang direkta ang mga certificate, key at authentication material. Maginhawa iyon para sa deployment at sakuna para sa pagbabahagi. Ang file na nagsisimula sa nababasang certificate block ay nagpapatuloy sa pribadong kalahati.

Ang WireGuard ay mas prangka. Ang interface section ay may pribadong key, at ang bawat peer ay maaaring may pre-shared key sa ibabaw nito. Walang kalabuan kung aling mga linya ang mahalaga. Halos lahat ng linya ay mahalaga.

Ang screenshot ay ang parehong leak sa ibang format

Ang pag-encode ng configuration bilang QR code ay hindi ito ginagawang preview. Ang code ay may parehong bytes, at anumang camera ng telepono sa silid ay makakapag-decode nito. Ganoon din sa screenshot ng configuration window ng kliyente, kung saan nababasa ang key sa sulok.

Ang mga authentication file at referenced key path ay kabilang sa parehong audit. Ang profile na tumuturo sa panlabas na file ay hindi awtomatikong mas ligtas, dahil ang path ay maaaring tumungo sa lugar na maaabot ng mambabasa. Ang token sa authentication file ay kasing gamit ng password, at bihirang magmukhang ganoon.

Ipadala ang text ng error, hindi ang key

Kailangan ng diagnosis ang error text, bersyon ng kliyente at mga pangalan ng opsyon na sinubukan. Hindi nito kailangan ang key. Isulat ang tanong kasama ng tatlong bagay na iyon, at palitan ang bawat sikreto at bawat hindi kailangang network identifier bago umalis ang file sa iyong makina.

Ang seksyon ng manual ng OpenVPN tungkol sa inline files ay kapaki-pakinabang na mapa kung saan naroroon ang mga bagay na iyon. Nagpapaalala rin ito kung ilan ang kayang taglayin ng isang profile.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Pagkatapos ay basahin ang huling attachment sa halip na magtiwala sa iyong memorya ng pag-edit. Nagtatago ang mga key sa mga susunod na block, sa hindi na-edit na komento at sa linyang pinagpasyahan mong structural.

Pagkatapos ng pagkakalantad, rotation lang ang tanging pag-aayos

Ang pagtanggal ng post ay hindi nagbabawi ng anuman. Ang tumanggap ng file ay mayroon pa ring gumaganang credential, kaya kailangan ng issuer na bawiin o palitan ito sa pamamagitan ng sariling proseso ng serbisyo. Ang pag-alis ng lokal na kopya ay walang binabago sa malayong dulo.

Itabi ang mga gumaganang profile sa protektadong paraan, at sadyang alisin ang mga lumang imported na entry sa halip na mag-iwan ng tatlong kopya sa isang download folder. Ang profile na hindi mo na ginagamit ay credential pa rin hanggang sa ito ay bawiin.

Ang ugali na sulit buuin ay maliit. Bago umalis ang anumang profile sa makina, itanong kung ano pa ang nasa loob nito bukod sa address, at sagutin sa pamamagitan ng pagbasa ng file sa halip na pag-alala nito.