Hồ sơ VPN của bạn chứa khóa riêng, không chỉ thông số cấu hình

Ai dán hồ sơ VPN vào một chủ đề diễn đàn cũng bắt đầu từ cùng một niềm tin. Tệp chỉ chứa một địa chỉ máy chủ và vài tùy chọn, nên chia sẻ nó giống như chia sẻ số điện thoại. Rồi ai đó đọc nó và tìm thấy một khóa riêng chưa mã hóa ở dòng thứ tư.

Hồ sơ không phải tài liệu về đường hầm. Nó là danh tính của đường hầm, được viết ra.

Các đối tượng trong tệp không cùng mức độ bí mật

Chứng chỉ CA công khai là để di chuyển. Khóa riêng của máy khách thì không. Khi cả hai xuất hiện trong cùng một tệp, cái vô hại khiến toàn bộ tệp đính kèm trông an toàn. Đó là cái bẫy.

OpenVPN làm điều này tệ hơn do thiết kế. Nó cho phép nhúng chứng chỉ, khóa và tài liệu xác thực ngay trong tệp. Điều đó tiện cho triển khai và thảm họa cho chia sẻ. Tệp bắt đầu bằng một khối chứng chỉ đọc được sẽ tiếp tục vào nửa riêng tư.

WireGuard thẳng thắn hơn. Phần giao diện mang một khóa riêng, và mỗi peer có thể mang thêm một khóa chia sẻ trước. Không có sự mơ hồ về việc dòng nào quan trọng. Gần như mọi dòng đều quan trọng.

Ảnh chụp màn hình là cùng một rò rỉ ở định dạng khác

Mã hóa cấu hình thành mã QR không biến nó thành bản xem trước. Mã mang cùng các byte, và bất kỳ camera điện thoại nào trong phòng đều có thể giải mã. Điều tương tự cũng đúng với ảnh chụp cửa sổ cấu hình của máy khách, nơi khóa đọc được ở góc.

Tệp xác thực và các đường dẫn khóa được tham chiếu thuộc cùng một cuộc kiểm toán. Hồ sơ trỏ đến tệp bên ngoài không tự động an toàn hơn, vì đường dẫn có thể dẫn đến nơi người đọc tiếp cận được. Token trong tệp xác thực dùng được như mật khẩu, và hiếm khi trông giống mật khẩu.

Gửi văn bản lỗi, không gửi khóa

Chẩn đoán cần văn bản lỗi, phiên bản máy khách và tên các tùy chọn đã thử. Không cần khóa. Viết câu hỏi với ba thứ đó, và thay thế mọi bí mật cùng mọi định danh mạng không cần thiết trước khi tệp rời khỏi máy của bạn.

Phần hướng dẫn của OpenVPN về tệp nhúng là bản đồ hữu ích về nơi các đối tượng đó nằm. Nó cũng nhắc rằng một hồ sơ có thể chứa bao nhiêu trong số chúng.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Sau đó hãy đọc tệp đính kèm cuối cùng thay vì tin vào trí nhớ về lần chỉnh sửa. Khóa ẩn trong các khối sau, trong một chú thích chưa được che và trong một dòng mà bạn cho là cấu trúc.

Sau khi lộ, xoay khóa là cách sửa duy nhất

Xóa bài đăng không thu hồi gì cả. Người nhận tệp vẫn có thông tin đăng nhập còn hiệu lực, vì thế nhà phát hành phải thu hồi hoặc thay thế nó qua quy trình của chính dịch vụ. Xóa bản sao cục bộ không thay đổi gì ở đầu xa.

Lưu hồ sơ đang dùng bằng một phương pháp được bảo vệ, và cố ý xóa các mục đã nhập lỗi thời thay vì để lại ba bản sao trong thư mục tải xuống. Hồ sơ bạn không còn dùng vẫn là thông tin đăng nhập cho đến khi bị thu hồi.

Thói quen đáng xây dựng thì nhỏ. Trước khi bất kỳ hồ sơ nào rời khỏi máy, hãy hỏi nó còn chứa gì ngoài địa chỉ, và trả lời bằng cách đọc tệp thay vì nhớ lại.