فشل مصادقة HMAC في حزمة OpenVPN: أي طبقة؟

فشلان يُبلَّغ عنهما بالمصطلح نفسه ولا يشتركان تقريبًا في أي شيء. أحدهما حزمة لم يتحقق وسم المصادقة الخاص بها؛ والآخر شخص رُفضت بيانات اعتماده. التعامل مع الأول على أنه الثاني يدفعك للبحث عن كلمة مرور لم تكن المشكلة يومًا.

تسمّي الرسالة طبقةً ما، والعمل المفيد هو تحديد أي طبقة قبل استبدال أي مادة. مقارنة الاحتمالات جنبًا إلى جنب هي أسرع طريقة لرؤية الفرق.

فشلان يتشاركان كلمة واحدة

يُرفع خطأ مصادقة الحزمة أثناء معالجة حركة المرور: وسم أو ملخّص في حزمة مستلمة لم يطابق ما حسبه المستلم. أما رفض الحساب فيحدث بعد تحليل تبادل تسجيل الدخول، وهو يسمّي مستخدمًا لا حزمة. وثمة رسالة ثالثة، عن تعذّر العثور على HMAC في حزمة واردة، وهي مختلفة أيضًا، لأن الحزمة هناك وصلت بلا عنصر المصادقة المتوقع أصلًا. بادئة السجل الكاملة تخبرك أي الثلاثة لديك، والبادئة عادةً أول ما يُحذف عند لصق خطأ في تذكرة.

التمييز يغيّر الإصلاح. أحدها يستدعي مطابقة إعدادات القناة، والآخر حالة الحساب، والثالث ملفًا تعريفيًا لا يطابق المستمع الذي وصل إليه.

قارن ما حمّلته العملية الجارية فعليًا

ملف صحيح على القرص لا يثبت شيئًا عن عملية بدأت قبل تحريره. تحقق من الملف التعريفي المحدد، ونقطة النهاية التي اتصل بها، وما إذا أُعيد تحميل الخدمة منذ التغيير. وتأكد أيضًا أن نقطة النهاية تخص الملف التعريفي، إذ قد يستمع مثيل آخر أو خدمة أخرى حيث يتوقع الملف القديم شيئًا آخر.

إعادة تصدير ملف تعريفي مدعوم من المصدر نفسه مقارنة رخيصة، لأنها تزيل الانحراف بين ما تظن أنه مُعدّ وما يرسله العميل فعلًا. توليد مادة مفاتيح جديدة خطوة أكبر بكثير، ولا يفيد إلا إذا تبنّاها الطرفان معًا. واستبدال جهة واحدة محليًا يعيد إنشاء عدم التطابق الذي كنت تحاول إزالته.

قارن قناة التحكم بقناة البيانات

آليتان تصادقان على أجزاء مختلفة من الاتصال وتُضبطان بشكل منفصل، كما تصف مرجع خيارات 2.6 ذلك. tls-auth تضيف HMAC إلى حزم قناة التحكم وتأخذ وسيط اتجاه يجب أن يكون معاكسًا على الطرفين، بينما tls-crypt تحمي قناة التحكم بمفتاح مشترك بدلًا من ذلك. لا واحدة منهما هي فحص السلامة الخاص بقناة البيانات. مع شيفرة بيانات AEAD يكون ذلك الفحص مدمجًا في الشيفرة، لذا لا يُستخدم auth الملخّص المنفصل بالطريقة نفسها التي يُستخدم بها مع شيفرة غير AEAD.

ما يعني أن سطر auth منسوخ من نشر غير AEAD عامل قد يكون غير ذي صلة في نشر AEAD، وقد يفشل نشر AEAD مع ذلك في قناة التحكم إذا كان tls-auth المفتاح أو اتجاهه خاطئًا. قارن كل إعداد مع الطرف الآخر لا مع إعداد متذكّر.

قارن الإصلاح بالخاصية التي تتنازل عنها

تعطيل مصادقة الحزمة يُسكت التحذير ويزيل الفحص الذي وجد عدم التطابق، وهذا ليس مثل إصلاح الملف التعريفي. اسأل أي خاصية تتخلى عنها وما إذا كان التصميم يظل قائمًا بدونها.

اقرأ أول حدث ذي صلة على الطرفين قبل تغيير أي شيء، ثم غيّر فقط عدم التطابق الذي يسمّيه.

إذا تقدّمت المحاولة التالية إلى خطأ شهادة أو تسجيل دخول، فذلك تقدّم لا تراجع: طبقة الحزمة توافق الآن والاتصال مضى قدمًا. سجّل الإعدادات التي أنتجت التغيير، ليرث الشخص التالي تفسيرًا لا لغزًا.