OpenVPN-pakket se HMAC-verifikasie het misluk: watter laag?

Twee mislukkings word met dieselfde woordeskat gerapporteer en het byna niks gemeen nie. Die een is ’n pakket waarvan die verifikasie-etiket nie geverifieer het nie; die ander is ’n persoon wie se geloofsbriewe geweier is. Om die eerste as die tweede te behandel, laat jou soek na ’n wagwoord wat nooit die probleem was nie.

Die boodskap noem ’n laag, en die nuttige werk is om te besluit watter laag dit is voordat jy enige materiaal vervang. Om die kandidate langs mekaar te vergelyk is die vinnigste manier om die verskil te sien.

Twee mislukkings wat ’n woord deel

’n Pakketverifikasiefout word opgewerp terwyl verkeer verwerk word: ’n etiket of digest op ’n ontvangde pakket stem nie ooreen met wat die ontvanger bereken het nie. ’n Rekeningverwerping gebeur nadat ’n aanmeldingsruil ontleed is, en dit noem ’n gebruiker eerder as ’n pakket. ’n Derde boodskap, oor die onvermoë om ’n HMAC in ’n inkomende pakket te vind, is weer anders, want daar het die pakket heeltemal sonder die verwagte verifikasie-element aangekom. Die volle logvoorvoegsel sê vir jou watter van die drie jy het, en die voorvoegsel is gewoonlik die eerste ding wat verwyder word wanneer ’n fout in ’n kaartjie geplak word.

Die onderskeid verander die herstel. Die een vra dat kanaalinstellings ooreenstem, die ander rekeningstatus, en die derde ’n profiel wat nie pas by die luisteraar wat dit bereik het nie.

Vergelyk wat die lopende proses werklik gelaai het

’n Korrekte lêer op skyf bewys niks oor ’n proses wat begin het voordat dit geredigeer is nie. Kontroleer die gekose profiel, die eindpunt waarmee dit kontak gemaak het, en of die diens sedert die verandering herlaai is. Bevestig ook dat die eindpunt aan die profiel behoort, want ’n ander instansie of ’n ander diens kan luister waar die ou lêer iets anders verwag.

Om ’n ondersteunde profiel uit dieselfde bron weer uit te voer is ’n goedkoop vergelyking, want dit verwyder die verskil tussen wat jy dink opgestel is en wat die kliënt werklik stuur. Om vars sleutelmateriaal te genereer is ’n veel groter stap, en dit help net as beide kante dit saam aanvaar. Om een kant plaaslik te vervang, skep weer die wanverhouding wat jy probeer verwyder het.

Vergelyk die beheerkanaal met die datakanaal

Twee meganismes verifieer verskillende dele van ’n verbinding en word afsonderlik opgestel, soos die 2.6-opsiereferensie beskryf. tls-auth voeg ’n HMAC by beheerkanaalpakette en neem ’n rigtingargument wat by die twee eweknieë teenoorgesteld moet wees, terwyl tls-crypt die beheerkanaal eerder met ’n gedeelde sleutel beskerm. Nie een is die datakanaal se eie integriteitskontrole nie. Met ’n AEAD-dataversypersel is daardie kontrole in die versypersel ingebou, so die aparte auth digest word nie gebruik soos met ’n nie-AEAD-versypersel nie.

Wat beteken dat ’n auth reël wat uit ’n werkende nie-AEAD-ontplooiing gekopieer is, in ’n AEAD-een irrelevant kan wees, en ’n AEAD-ontplooiing kan steeds op die beheerkanaal misluk as die tls-auth sleutel of sy rigting verkeerd is. Vergelyk elke instelling met die eweknie eerder as met ’n onthoude opset.

Vergelyk die oplossing met die eienskap wat jy prysgee

Om pakketverifikasie te deaktiveer maak die waarskuwing stil en verwyder die kontrole wat die wanverhouding gevind het, wat nie dieselfde is as om die profiel te herstel nie. Vra watter eienskap jy prysgee en of die ontwerp sonder dit nog hou.

Lees die eerste relevante gebeurtenis aan beide kante voordat jy enigiets verander, en verander dan net die wanverhouding wat dit noem.

As die volgende poging vorder tot ’n sertifikaat- of aanmeldingsfout, is dit vordering eerder as ’n terugslag: die pakketlaag stem nou saam en die verbinding het verder gegaan. Teken die instellings aan wat die verandering veroorsaak het, sodat die volgende persoon ’n verduideliking eerder as ’n raaisel erf.