VPN profiliniz yalnızca ayarlar değil, özel bir anahtar da taşır

Bir forum konusuna VPN profili yapıştıran herkes aynı inançla başlar. Dosyada yalnızca bir sunucu adresi ve birkaç seçenek vardır, bu yüzden onu paylaşmak telefon numarası paylaşmak gibi gelir. Sonra biri onu okur ve dördüncü satırda şifrelenmemiş bir özel anahtar bulur.

Profil tünel hakkında belge değildir. O, tünelin kimliğidir, yazılmış hâli.

Dosyadaki nesneler aynı gizlilik düzeyini paylaşmaz

Genel bir CA sertifikası seyahat etmek içindir. İstemcinin özel anahtarı değil. İkisi aynı dosyada göründüğünde, zararsız olan tüm eki güvenli gösterir. Tuzak budur.

OpenVPN bunu tasarımı gereği daha da kötüleştirir. Sertifikaların, anahtarların ve kimlik doğrulama malzemesinin doğrudan gömülmesine izin verir. Bu, dağıtım için kullanışlı ve paylaşım için felakettir. Okunabilir bir sertifika bloğuyla başlayan dosya, özel yarıya kadar devam eder.

WireGuard bu konuda daha açıktır. Arayüz bölümü özel bir anahtar taşır ve her peer bunun üzerine önceden paylaşılmış bir anahtar da taşıyabilir. Hangi satırların önemli olduğu konusunda belirsizlik yoktur. Neredeyse her satır önemlidir.

Ekran görüntüsü aynı sızıntının başka bir biçimidir

Bir yapılandırmayı QR kod olarak kodlamak onu önizleme yapmaz. Kod aynı baytları taşır ve odadaki herhangi bir telefon kamerası onu çözebilir. Aynısı bir istemcinin yapılandırma penceresinin ekran görüntüsü için de geçerlidir; orada anahtar köşede okunabilir.

Kimlik doğrulama dosyaları ve başvurulan anahtar yolları aynı denetime aittir. Harici bir dosyayı gösteren profil otomatik olarak daha güvenli değildir, çünkü yol bir okuyucunun ulaşabileceği bir yere çıkabilir. Kimlik doğrulama dosyasındaki bir jeton, parola kadar kullanılabilir ve nadiren parolaya benzer.

Anahtarı değil, hata metnini gönderin

Teşhis için hata metni, istemci sürümü ve denenen seçeneklerin adları gerekir. Anahtar gerekmez. Soruyu bu üç şeyle yazın ve dosya makinenizden ayrılmadan önce her sırrı ve gereksiz her ağ tanımlayıcısını değiştirin.

OpenVPN'in satır içi dosyalar hakkındaki kılavuz bölümü, bu nesnelerin nerede olduğuna dair yararlı bir haritadır. Tek bir profilin kaç tanesini tutabileceğini de hatırlatır.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Sonra düzenlemeye dair belleğinize güvenmek yerine son eki okuyun. Anahtarlar sonraki bloklarda, gizlenmemiş bir yorumda ve yapısal saydığınız bir satırda saklanır.

Açığa çıktıktan sonra tek onarım rotasyondur

Gönderiyi silmek hiçbir şeyi iptal etmez. Dosyayı alan kişi hâlâ çalışan bir kimlik bilgisine sahiptir, bu yüzden veren taraf hizmetin kendi süreciyle onu iptal etmeli veya değiştirmelidir. Yerel bir kopyayı silmek uzak uçta hiçbir şeyi değiştirmez.

Çalışan profilleri korumalı bir yöntemle saklayın ve kullanımdan kalkmış içe aktarılmış girişleri indirmeler klasöründe üç kopya bırakmak yerine bilerek kaldırın. Artık kullanmadığınız bir profil, iptal edilene kadar hâlâ bir kimlik bilgisidir.

Geliştirmeye değer alışkanlık küçüktür. Herhangi bir profil makineden ayrılmadan önce, adresin dışında içinde ne olduğunu sorun ve hatırlayarak değil, dosyayı okuyarak yanıtlayın.