VPN genel anahtarı paylaşılabilir mi? Üç şeyi kontrol edin

VPN genel anahtarınızı bir eşe, bir sağlayıcıya veya bir foruma verebilirsiniz ve tünel çalışmaya devam eder. Özel anahtarı ise, destek personeline bile, o anahtarın kanıtladığı kimliği teslim etmeden veremezsiniz. Karar nadiren bu kadar net kalır, çünkü insanlar çiftin hangi yarısına baktıklarını karıştırır ve bazı dağıtımlar genel değeri bir ad gibi ele alır. Üç kontrol bunu çözer: hangi yarıya sahipsiniz, dağıtım onu neye bağlıyor ve değiştirmenin maliyeti nedir.

Kontrol bir: çiftin hangi yarısı panonuzda

Asimetrik anahtarlar çiftler hâlinde gelir, ve türetmenin yönü bütün meseledir. WireGuard'da özel anahtar 32 rastgele bayttır ve genel anahtar ondan hesaplanır; ters yönde mümkün değildir. wg genkey özel değeri yazar, wg pubkey genel olanı türetir ve bir eşe gönderilecek mesaja yalnızca ikincisi girer.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Sertifika dünyası aynı bölünmeyi daha çok hareketli parçayla kullanır. Bir sunucu sertifikası genel anahtar ve adlar taşır ve CA'dan hiç ayrılmayan bir CA özel anahtarıyla imzalanır. O sunucuyu doğrulayan istemci, genel olan CA sertifikasına ihtiyaç duyar ve CA'nın özel imzalama anahtarına hiç ihtiyaç duymaz.

Hangi değeri tuttuğunuzdan emin değilseniz dosya adına değil işarete bakın. Şununla başlayan bir PEM bloğu, -----BEGIN PRIVATE KEY-----, veya daha eski BEGIN RSA PRIVATE KEY biçimi, gizli yarıdır. O işaret olmadan yapıştırabildiğiniz değer, sonraki iki kontrole bağlı olarak paylaşım adayıdır.

Kontrol iki: dağıtım o genel değeri neye bağlıyor

Kriptografik güvenlik ve anonimlik farklı özelliklerdir. Bir WireGuard eşinin genel anahtarı dağıtım içinde kararlı bir tanımlayıcıdır: sunucu yapılandırması onu listeler, el sıkışma onu adlandırır ve günlükleri okuyan bir yönetici o eş her bağlandığında aynı dizeyi görür. Anahtarı kurulumunuzla ilgili bir sorunun yanına gönderirseniz, o dizeyi gönderideki her şeye bağlamış olursunuz.

Sertifikalar kimliği tasarımı gereği sızdırır. Subject ve subject alternative name okunabilir ve kamuya güvenilir TLS sertifikalarında sertifikanın kendisi aranabilir Certificate Transparency günlüklerinde yayımlanır. Bunların hiçbiri özel anahtarı açığa çıkarmaz ve hepsi bir ilişkiyi açığa çıkarır.

Dağıtımlar burada farklılaşır ve bu, cevabı belirler. Laboratuvar sunucusundaki tek kullanımlık bir test eşi, bir şirketin siteler arası uç noktasını tanımlayan anahtardan farklı bir nesnedir, baytlar aynı görünse bile.

Kontrol üç: neyi iptal edebilirsiniz ve ne kadar hızlı

Üçüncü kontrol iki yarıyı tamamen ayırır. Yayımlanmış bir genel anahtar kendi takviminize göre değiştirilebilir. Yayımlanmış bir özel anahtar geri çağrılamaz: kendi kopyanızı silmek daha önce alınmış kopyalara dokunmaz ve ona güvenen her eş artık bir yabancının elindeki bir şeye güvenir.

İptal, kriptografik değil yapılandırma işlemidir. WireGuard bir iptal listesi sunmaz, bu yüzden eşi kaldırırsınız:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN sertifikalara dayanan dağıtımlar sertifikayı iptal eder ve sunucunun gerçekten crl-verify üzerinden denetlediği bir CRL yayımlar. O direktif olmadan iptal listesi yalnızca süstür. Her iki durumda sıra aynıdır: bir yedek verin, desteklenen kanaldan dağıtın, sonra eski kimliği devreden çıkarın.

Üç kontrolü birleştirmekten doğan hatalar

Gerçek sızıntıların çoğu birinin özel anahtarı yayımlamaya karar vermesi değildir. Bir foruma tüm profilin yapıştırılmasıdır: .conf WireGuard dosyası ve içinde PrivateKey satırı, .ovpn paketi ve içine gömülü anahtar bloğu veya istemci penceresinin anahtar alanını yanlışlıkla gösteren bir ekran görüntüsü. Genel değer muhtemelen sorunsuzdu; sorunlu kısımla birlikte seyahat etti.

Destek iş akışları ikinci kaynaktır. Hiçbir meşru doğrulama adımı özel anahtarınıza ihtiyaç duymaz, çünkü karşı taraf ihtiyacı olanı genel yarıdan türetir. Bir form veya kişi özel değeri istediğinde doğru yanıt, genel değer ve onu üreten yerel komuttur.

Günlükler ve ekran görüntüleri aynı kategoridedir. Tanılama çıktısı anahtar malzemesi, oturum tanımlayıcıları ve iç adresler taşıyabilir ve tek bir soruyu yanıtlamak için hepsini yayımlamak küçük bir kolaylığı daha büyük bir maruziyetle değiştirir.

Özel bir değer sızdıktan sonra kimliği devreden çıkarın

Özel bir değer gerçekten dışarı çıktıysa o kimliği devreden çıkmış sayın. Yeni bir çift üretin, genel yarıyı eşlerin beklediği yere kurun, eski eşi kaldırın veya eski sertifikayı iptal edin ve yayımladığınız yerleri kontrol edin. Denetlemediğiniz kopyaları silemezsiniz, bu yüzden kaldırma geçmişle değil gelecekle ilgilidir.

Sonra dağıtımı yazın: hangi anahtar hangi cihaza ait, kim bir kopya tutuyor, yedek nasıl teslim ediliyor ve devreden çıkmış eşi kim kaldırıyor. İnsanların unuttuğu kısımlar bunlardır ve bir sızıntının ne kadar süre işe yarar kalacağını onlar belirler.