Gửi gói VPN cho đúng người nhận, không chỉ một khóa

Một đối tác gửi khóa công khai và yêu cầu một gói đã mã hóa. Việc mã hóa sẽ thành công, và nó có thể giao một thông tin xác thực được bảo vệ hoàn hảo cho người không nên có nó. Tính bí mật và danh tính người nhận là hai câu hỏi khác nhau được trả lời bởi các cơ chế khác nhau. Hãy trả lời cả hai trước khi gói rời khỏi máy của bạn.

Hai câu hỏi khác nhau: tính bí mật và người nhận

Mã hóa trả lời ai có thể đọc tệp, giả định rằng khóa thuộc về người dự định. Chữ ký trả lời ai đã tạo ra nó, và không nói gì về tính bảo mật vì một tệp đã ký vẫn có thể đọc được. Dấu vân tay nhận diện một khóa, và chỉ một kiểm tra độc lập mới gắn dấu vân tay đó với một người hoặc vai trò. Coi một trong những thứ này như thứ kia là thất bại thường gặp trong một lần bàn giao trông có vẻ cẩn thận.

Tệp cũng có vòng đời: một liên kết hết hạn sẽ giới hạn việc lấy sau này, nhưng nó không thu hồi một thông tin xác thực đã được tải xuống.

Xác minh dấu vân tay ngoài kênh

Lấy dấu vân tay mong đợi từ một kênh không phụ thuộc vào tin nhắn yêu cầu bạn mã hóa. Sau đó so sánh với thứ mà chùm khóa cục bộ đang giữ.

gpg --fingerprint [email protected]
gpg --list-keys --with-fingerprint [email protected]

Các dòng dấu vân tay là giá trị cần so sánh, và lệnh thứ hai hiển thị cùng các danh tính với dấu vân tay đầy đủ để xem lại lần hai. Xác nhận toàn bộ chuỗi qua một cuộc gọi, bản kiểm kê đã ký hoặc bản ghi đăng ký được quản lý; một tên hiển thị quen thuộc không chứng minh điều gì. Nếu khóa đến trong đúng tin nhắn đã yêu cầu việc giao, dấu vân tay của nó không phải bằng chứng độc lập. Chỉ nhập khóa sau kiểm tra đó, và mã hóa tới dấu vân tay đã xác minh chứ không phải tới một cái tên.

Chỉ giao đúng vật liệu mà thiết bị cần

Kiểm kê gói trước khi chọn phương thức vận chuyển. Cấu hình cổng công cộng và chứng chỉ tin cậy công cộng là cấu hình, khóa riêng của máy khách là bí mật, và khóa ký của nhà phát hành là một tài sản hoàn toàn khác. Ở nơi mô hình đăng ký cho phép, hãy giữ khóa riêng trên thiết bị và chỉ giao những gì hoàn tất việc đăng ký. Máy khách VPN không cần khóa ký của CA để xác thực máy chủ, và một khóa sống dùng chung giữa các đối tác khiến việc thu hồi riêng lẻ trở nên bất khả thi.

Cũng hãy ký lên hiện vật khi người nhận phải phát hiện sự thay thế, và giữ hai thao tác tách biệt trong hướng dẫn. Giữ một gói nhiều tệp trong một kho lưu trữ duy nhất để người nhận không thể cài một nửa cấu hình rồi báo rằng cổng từ chối danh tính.

Đóng vòng đời sau khi giao

Ghi lại người nhận, thiết bị, bản sửa đổi cấu hình và đường thu hồi, nhưng không bao giờ ghi chính giá trị riêng. Xác nhận rằng người dự định có thể đăng ký và một danh tính khác bị từ chối. Nếu gói rơi vào tay kẻ xấu, hãy thay thế hoặc thu hồi bí mật đã được chấp nhận thông qua nhà phát hành của nó, vì việc xóa một tệp đính kèm không vô hiệu hóa bất cứ thứ gì đã được tải xuống. Một kho lưu trữ được bảo vệ bằng mật khẩu mà mật khẩu đi qua cùng cuộc trò chuyện cũng không phải kiểm tra độc lập.

Một lần bàn giao kết thúc khi danh tính đúng đang hoạt động trên thiết bị đúng, không phải khi tệp đã mã hóa được tải lên thành công.