VPN ochiq kalitini ulashish mumkinmi? Uch narsani tekshiring

VPN ochiq kalitingizni hamkorga, provayderga yoki forumga bera olasiz, tunnel ishlashda davom etadi. Yopiq kalitni esa, hatto qo'llab-quvvatlash xodimlariga ham, o'sha kalit isbotlaydigan identifikatsiyani topshirmasdan bera olmaysiz. Qaror kamdan-kam shunchalik toza qoladi, chunki odamlar juftlikning qaysi yarmini ko'rayotganini chalkashtiradi va ba'zi joylashtirishlar ochiq qiymatni nom sifatida ko'radi. Buni uchta tekshiruv hal qiladi: qaysi yarmi sizda, joylashtirish uni nimaga bog'laydi va almashtirish qancha turadi.

Birinchi tekshiruv: juftlikning qaysi yarmi almashish buferingizda

Asimmetrik kalitlar juft bo'lib keladi, va hosil qilish yo'nalishi butun masala. WireGuard'da yopiq kalit 32 ta tasodifiy bayt, ochiq kalit esa undan hisoblanadi; teskari yo'nalishda buning iloji yo'q. wg genkey yopiq qiymatni yozadi, wg pubkey ochiq qiymatni hosil qiladi, va faqat ikkinchisi hamkorga yuboriladigan xabarga tushadi.

wg genkey | tee private.key | wg pubkey > public.key
chmod 600 private.key
openssl x509 -noout -pubkey -in server.crt

Sertifikatlar dunyosi xuddi shu bo'linishni ko'proq harakatlanuvchi qismlar bilan ishlatadi. Server sertifikati ochiq kalit va nomlarni olib yuradi va CA dan hech qachon chiqmaydigan CA yopiq kaliti bilan imzolanadi. O'sha serverni tekshiruvchi mijozga ochiq bo'lgan CA sertifikati kerak, CA ning yopiq imzolash kalitidan esa unga hech qanday foyda yo'q.

Qaysi qiymatni ushlab turganingizga ishonchingiz komil bo'lmasa, fayl nomini emas, belgini qidiring. Quyidagidan boshlanadigan PEM bloki, -----BEGIN PRIVATE KEY-----, yoki eskiroq BEGIN RSA PRIVATE KEY shakli — bu maxfiy yarmi. O'sha belgisiz qo'shib qo'ya oladigan qiymat ulashish uchun nomzod, keyingi ikki tekshiruvga bog'liq holda.

Ikkinchi tekshiruv: joylashtirish o'sha ochiq qiymatni nimaga bog'laydi

Kriptografik xavfsizlik va anonimlik har xil xossalar. WireGuard hamkori ochiq kaliti joylashtirish ichida barqaror identifikator: server konfiguratsiyasi uni sanaydi, qo'l berib ko'rishish uni nomlaydi, jurnallarni o'qiyotgan administrator esa o'sha hamkor ulanadigan har safar bir xil satrni ko'radi. Kalitni sozlamangiz haqidagi savol yoniga e'lon qilsangiz, o'sha satrni postdagi qolgan hamma narsa bilan bog'lab qo'ygansiz.

Sertifikatlar identifikatsiyani o'z konstruktsiyasi bilan oshkor qiladi. Subject va subject alternative name o'qiladi, ochiq ishonchga ega TLS sertifikatlari uchun esa sertifikatning o'zi qidirish mumkin bo'lgan Certificate Transparency jurnallarida e'lon qilinadi. Bularning hech biri yopiq kalitni oshkor qilmaydi va barchasi munosabatni oshkor qiladi.

Aynan shu yerda joylashtirishlar farqlanadi va bu javobni hal qiladi. Laboratoriya serveridagi bir martalik sinov hamkori kompaniyaning saytlar orasidagi oxirgi nuqtasini identifikatsiya qiluvchi kalitdan boshqa obyekt, baytlar bir xil ko'rinsa ham.

Uchinchi tekshiruv: nimani qaytarib olsangiz bo'ladi va qanchalik tez

Uchinchi tekshiruv ikki yarmini butunlay ajratadi. E'lon qilingan ochiq kalitni o'z jadvalingiz bo'yicha almashtirish mumkin. E'lon qilingan yopiq kalitni qaytarib olish mumkin emas: o'z nusxangizni o'chirish allaqachon olingan nusxalarga tegmaydi va unga ishongan har bir hamkor endi begona odamda bo'lgan narsaga ishonadi.

Qaytarib olish — konfiguratsiya amali, kriptografik emas. WireGuard qaytarib olish ro'yxatini taqdim etmaydi, shuning uchun hamkorni olib tashlaysiz:

wg set wg0 peer <peer-public-key> remove
# then delete the [Peer] block from the config so it does not return on restart

OpenVPN sertifikatlar asosidagi joylashtirishlar sertifikatni qaytarib oladi va server haqiqatan crl-verify orqali tekshiradigan CRL e'lon qiladi. O'sha direktivasiz qaytarib olish ro'yxati shunchaki bezak. Ikkala holatda ham ketma-ketlik bir xil: o'rinbosar chiqaring, uni qo'llab-quvvatlanadigan kanal orqali tarqating, so'ng eski identifikatsiyani iste'foga chiqaring.

Uch tekshiruvni bir joyga qo'shishdan kelib chiqadigan xatolar

Haqiqiy oqib ketishlarning aksariyati odamning yopiq kalitni e'lon qilish qarori emas. Bu butun profilni forumga qo'shib qo'yish: .conf WireGuard fayli va unda PrivateKey satri, .ovpn to'plami va ichida joylashgan kalit bloki, yoki kalit maydoni tasodifan ko'ringan mijoz oynasining ekran surati. Ochiq qiymat, ehtimol, joyida edi; u joyida bo'lmagan qism bilan birga sayohat qildi.

Qo'llab-quvvatlash jarayonlari ikkinchi manba. Hech bir qonuniy tekshirish qadami sizning yopiq kalitingizga muhtoj emas, chunki qarshi tomon kerakli narsani ochiq yarmidan hosil qiladi. Forma yoki odam yopiq qiymatni so'rasa, to'g'ri javob ochiq qiymat va uni yaratadigan mahalliy buyruqdir.

Jurnallar va ekran suratlari ham shu toifaga kiradi. Diagnostika chiqishi kalit materiali, sessiya identifikatorlari va ichki manzillarni olib yurishi mumkin, va bitta savolga javob olish uchun bularning barchasini e'lon qilish kichik qulaylikni kattaroq oshkorlikka almashtiradi.

Yopiq qiymat oqib ketgandan keyin identifikatsiyani iste'foga chiqaring

Agar yopiq qiymat haqiqatan chiqib ketgan bo'lsa, o'sha identifikatsiyani iste'fodagi deb biling. Yangi juftlik yarating, ochiq yarmini hamkorlar kutadigan joyga o'rnating, eski hamkorni olib tashlang yoki eski sertifikatni qaytarib oling va uni e'lon qilgan joylarni tekshiring. O'zingiz nazorat qilmaydigan nusxalarni o'chira olmaysiz, shuning uchun olib tashlash o'tmish haqida emas, kelajak haqida.

So'ng tarqatishni yozib qo'ying: qaysi kalit qaysi qurilmaga tegishli, kimda nusxa bor, o'rinbosar qanday yetkaziladi va iste'fodagi hamkorni kim olib tashlaydi. Odamlar unutadigan qismlar aynan shular va oqib ketish qancha vaqt foydali qolishini ular hal qiladi.