Щоб налагоджувати VPN, приватний ключ не потрібен

Запит звучить розумно: надішліть конфігурацію, щоб підтримка побачила, що не так. Саме так приватні ключі й потрапляють у системи заявок і журнали чатів. Конфігурація — це посвідчення особи, а не діагностика, і людині, яка налагоджує ваш тунель, майже ніколи не потрібна та половина, що доводить, хто ви. Вивід стану відповідає на ті самі питання без цього ризику.

Міф у тому, що конфігурація — єдиний повний вигляд. Це найменш безпечний повний вигляд.

Міф: підтримці потрібна конфігурація

Підтримці потрібні текст помилки, версії клієнта й сервера, кінцева точка, стан рукостискання та порядок подій. Усе це — стан. Конфігурація додає ключі, а ключі — це те, що дозволяє комусь іншому бути вами. Передати конфігурацію, щоб виправити проблему маршрутизації, — це як надіслати паспорт поштою, щоб пояснити затримку рейсу. Запит зазвичай надходить від того, хто ніколи не бачив вашу мережу, і просить те, що найлегше долучити.

Надішліть найкоротший вивід, який відповідає на питання, а не найбільший, який знайдете.

Що насправді показує стан

Команда wg show у WireGuard виводить інтерфейси, пірів, дозволені IP-адреси, кінцеві точки, останнє рукостискання та лічильники передавання, а приватний ключ не виводить. Вивід стану й журналу OpenVPN дає стан з'єднання та помилки без вбудованих блоків ключів. І того, і другого достатньо, щоб побачити, чи завершується рукостискання, чи рухаються лічильники та який пір використовується, що посібник wg документує як вигляд стану.

Якщо помічник просить конфігурацію раніше за цей вивід, запитайте, що конфігурація показала б такого, чого стан не показує.

Де в кожному форматі ховаються секрети

Файли конфігурації WireGuard містять рядки PrivateKey, а відкриті ключі пірів і метадані кінцевої точки все одно ідентифікують навіть без них. Профілі OpenVPN можуть вбудовувати блоки <key> і <tls-crypt> або вказувати на окремі файли, які подорожують разом із профілем. Архів підтримки клієнта може містити значно більше, ніж показує вікно журналу, зокрема кешовані профілі, про існування яких ви забули. Знімки екрана — інший поширений витік, бо вікно термінала показує більше, ніж команда, якою ви хотіли поділитися.

Прочитайте документацію з експорту, а потім відкрийте файл. Вивід із позначкою «діагностика» не обов'язково очищений від чогось.

Відредагуйте, а потім надішліть перевірену копію

Зберігайте оригінал у захищеному місці та надсилайте перевірену копію. Замінюйте кінцеві точки й відкриті ключі стабільними заповнювачами, коли справжні значення не потрібні, а блоки приватного ключа видаляйте повністю, а не маскуйте частково. Часткове маскування блоку base64 — це все ще витік ключа. Прочитайте файл ще раз перед відправленням, бо архіви часто несуть другу копію того самого профілю.

Використовуйте перевірений канал і перевірте, хто його отримує, перш ніж щось долучати.

Якщо ключ уже витік

Видалення повідомлення не повертає копії, які вже мають інші. Прокрутіть посвідчення через процедуру відкликання й заміни в оператора та вважайте старий ключ скомпрометованим від моменту надсилання. Більшість операторів швидко замінять посвідчення клієнта, щойно про витік повідомлять, і саме повідомлення люди й відкладають.

Те саме правило діє для ключа, вставленого в заявку, знімок екрана або гілку чату. Ротація — це рішення; видалення — це прибирання.