Надсилайте VPN-пакет правильному отримувачу, а не просто ключ

Партнер надсилає відкритий ключ і просить зашифрований пакет. Шифрування працюватиме і може доставити бездоганно захищені дані доступу тому, кому вони не належать. Секретність і особа отримувача — два різні питання, на які відповідають різні механізми. Дайте відповідь на обидва, перш ніж пакет залишить вашу машину.

Два різні питання: секретність і отримувач

Шифрування відповідає, хто може прочитати файл, за умови, що ключ належить потрібній людині. Підпис відповідає, хто його створив, і нічого не каже про конфіденційність, бо підписаний файл може залишатися читабельним. Відбиток ідентифікує ключ, і лише незалежна перевірка пов’язує цей відбиток з особою чи роллю. Вважати одне з цього іншим — звичайна помилка під час передавання, що виглядає уважним.

Файл також має життєвий цикл: посилання, що спливає, обмежує подальше завантаження, але не відкликає дані доступу, які вже завантажено.

Перевірте відбиток поза каналом

Отримайте очікуваний відбиток із каналу, що не залежить від повідомлення, яке просить вас шифрувати. Потім порівняйте його з тим, що зберігає локальне кільце ключів.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Рядки відбитка — це значення для порівняння, а друга команда показує ті самі ідентичності з повними відбитками для другого погляду. Підтвердьте весь рядок через дзвінок, підписаний перелік або керований запис реєстрації; знайоме показуване ім’я нічого не доводить. Якщо ключ надійшов у тому самому повідомленні, що просило доставлення, його відбиток не є незалежним доказом. Імпортуйте ключ лише після цієї перевірки і шифруйте на підтверджений відбиток, а не на ім’я.

Передавайте лише той матеріал, який потрібен пристрою

Складіть перелік пакета, перш ніж обирати транспорт. Публічні налаштування шлюзу та публічний сертифікат довіри — це конфігурація, приватний ключ клієнта — секрет, а ключ підпису видавця — зовсім інший актив. Там, де модель реєстрації це дозволяє, тримайте приватний ключ на пристрої й передавайте лише те, що завершує реєстрацію. VPN-клієнту не потрібен ключ підпису CA, щоб перевіряти сервер, і один спільний живий ключ між партнерами робить індивідуальне відкликання неможливим.

Підпишіть також артефакт, коли отримувач має виявляти підміну, і тримайте дві операції в інструкціях окремо. Тримайте пакет із кількох файлів в одному архіві, щоб отримувач не міг установити половину конфігурації й потім повідомити, що шлюз відкидає особу.

Закрийте життєвий цикл після доставлення

Запишіть отримувача, пристрій, ревізію конфігурації та шлях відкликання, але ніколи сам приватний секрет. Підтвердьте, що потрібна людина може зареєструватися, а інша особа відхиляється. Якщо пакет потрапить не до тих рук, замініть або відкличте прийнятий секрет через його видавця, бо видалення вкладення не анулює нічого, що вже завантажено. Архів, захищений паролем, який подорожує в тій самій розмові, теж не є незалежною перевіркою.

Передавання завершене, коли правильна особа активна на правильному пристрої, а не коли зашифрований файл успішно завантажено.