Bạn không cần khóa riêng để gỡ lỗi VPN

Yêu cầu nghe có lý: gửi cấu hình để bộ phận hỗ trợ xem điều gì sai. Đó cũng là cách khóa riêng lọt vào hệ thống phiếu hỗ trợ và nhật ký trò chuyện. Cấu hình là danh tính, không phải chẩn đoán, và người gỡ lỗi đường hầm của bạn gần như không bao giờ cần nửa phần chứng minh bạn là ai. Đầu ra trạng thái trả lời cùng những câu hỏi đó mà không có rủi ro ấy.

Lầm tưởng là cấu hình là cái nhìn đầy đủ duy nhất. Đó là cái nhìn đầy đủ kém an toàn nhất.

Lầm tưởng: bộ phận hỗ trợ cần cấu hình

Bộ phận hỗ trợ cần văn bản lỗi, phiên bản máy khách và máy chủ, điểm cuối, trạng thái bắt tay và thứ tự sự kiện. Tất cả những thứ đó là trạng thái. Cấu hình thêm khóa, và khóa là thứ cho phép người khác trở thành bạn. Trao cấu hình để sửa sự cố định tuyến giống như gửi hộ chiếu qua bưu điện để giải thích một chuyến bay bị hoãn. Yêu cầu thường đến từ người chưa từng thấy mạng của bạn và đòi thứ dễ đính kèm nhất.

Hãy gửi đầu ra nhỏ nhất trả lời câu hỏi, không phải cái lớn nhất bạn tìm được.

Trạng thái thực sự hiển thị gì

wg show của WireGuard in ra giao diện, peer, IP được phép, điểm cuối, lần bắt tay gần nhất và bộ đếm truyền tải, và nó không in khóa riêng. Đầu ra trạng thái và nhật ký của OpenVPN cung cấp trạng thái kết nối và lỗi mà không có các khối khóa nhúng. Cả hai đủ để xem một lần bắt tay có hoàn tất không, bộ đếm có nhúc nhích không và peer nào đang được dùng, điều mà hướng dẫn wg ghi lại như chế độ xem trạng thái.

Nếu người trợ giúp yêu cầu cấu hình trước khi yêu cầu đầu ra đó, hãy hỏi cấu hình sẽ hiển thị điều gì mà trạng thái không hiển thị.

Nơi bí mật ẩn trong mỗi định dạng

Tệp cấu hình WireGuard chứa dòng PrivateKey, và khóa công khai của peer cùng siêu dữ liệu điểm cuối vẫn nhận dạng được kể cả khi không có chúng. Hồ sơ OpenVPN có thể nhúng khối <key> và <tls-crypt> hoặc trỏ tới tệp riêng đi kèm hồ sơ. Kho lưu trữ hỗ trợ của máy khách có thể chứa nhiều hơn những gì cửa sổ nhật ký hiển thị, kể cả hồ sơ đã lưu trong bộ nhớ đệm mà bạn quên là có. Ảnh chụp màn hình là một đường rò rỉ phổ biến khác, vì cửa sổ terminal hiển thị nhiều hơn lệnh bạn định chia sẻ.

Đọc tài liệu xuất, rồi mở tệp. Đầu ra được dán nhãn chẩn đoán không nhất thiết đã được làm sạch khỏi bất cứ thứ gì.

Che thông tin nhạy cảm, rồi gửi bản sao đã xem xét

Giữ bản gốc ở nơi được bảo vệ và gửi bản sao đã xem xét. Thay điểm cuối và khóa công khai bằng phần giữ chỗ ổn định khi không cần giá trị thật, và xóa hẳn các khối khóa riêng thay vì che một phần. Che một phần khối base64 vẫn là khóa đã rò rỉ. Đọc tệp thêm một lần trước khi nó rời đi, vì kho lưu trữ thường mang bản sao thứ hai của cùng hồ sơ.

Dùng kênh đã xác minh, và kiểm tra ai là người nhận trước khi đính kèm bất cứ thứ gì.

Nếu khóa đã rò rỉ

Xóa tin nhắn không khôi phục các bản sao mà người khác đã có. Xoay danh tính qua quy trình thu hồi và thay thế của nhà vận hành, và coi khóa cũ là đã bị xâm phạm kể từ thời điểm nó được gửi. Hầu hết nhà vận hành sẽ thay danh tính máy khách nhanh chóng sau khi vụ lộ được báo cáo, và chính việc báo cáo là phần người ta trì hoãn.

Quy tắc tương tự áp dụng cho khóa được dán vào phiếu hỗ trợ, ảnh chụp màn hình hoặc luồng trò chuyện. Xoay khóa là giải pháp; xóa chỉ là dọn dẹp.