Bu dərc edilmiş OpenVPN açarı CA sertifikatı, qarşı tərəf açarı, yoxsa tls-auth?

Kimsə VPN açarının açıq olduğunu bildirir və bu cümlə tamamilə fərqli üç vəziyyəti gizlədir. Bu, hər müştəridə olması nəzərdə tutulan CA sertifikatı, heç vaxt bir maşından çıxmamalı olan şəxsi kimlik açarı və ya hər iki tərəfin saxlamalı olduğu paylaşılan idarəetmə kanalı sirri ola bilər. Təmir, təcillik və təsir dairəsi hər halda fərqlidir, ona görə də ilk vəzifə hərəkət deyil, təsnifatdır. Kateqoriyanı səhv təyin etsəniz, sonrakı hər addım boşa sərf olunmuş səy olacaq.

Fayl adından deyil, direktivdən başlayın

Aktiv konfiqurasiyanı oxuyun və hansı direktivin sözügedən materiala işarə etdiyini tapın. OpenVPN-in TLS seçimləri etibarlı sertifikat materialı üçün ca, yerli qarşı tərəf sertifikatı üçün cert və ona aid şəxsi açar üçün key istifadə edir.

Fayl adları heç nə sübut etmir. key.pem adlı faylda sertifikat ola bilər və profildəki daxili blok diskdəki ayrı faylla tam eyni obyekti saxlaya bilər. Adına güvənmək əvəzinə faylı açın və başlığına baxın. Bu bir yoxlama hesabatdakı qeyri-müəyyənliyin çoxunu aradan qaldırır.

Profil PKCS#12 paketidirsə, onun həqiqətən nə saxladığını görmək üçün nəzarət olunan yerdə açın. Tək bir paket sertifikat, onun zəncirini və şəxsi açarı daşıya bilər, yəni paketin sızması hər üçünün sızması deməkdir.

Hər hansı biri faylı dəyişməzdən əvvəl təsnifatı yazın: obyekt, direktiv, hansı qarşı tərəflərin onu saxladığı və kimin oxuya bildiyi. Cavabın qalan hissəsi məhz bu cümlədən asılıdır.

CA sertifikatı paylaşılmaq üçün nəzərdə tutulub

Açıq CA sertifikatı etibar materialıdır. Müştərilər onu serveri yoxlamaq üçün lazımdır və onun paylanması hadisə deyil, normal haldır. Onun dərc edilməsi CA-nın şəxsi imzalama açarını dərc etmir, halbuki hücumçuya yeni kimliklər yaratmağa imkan verən obyekt məhz həmin açardır.

Bu fərqi biletdə açıq şəkildə qeyd etməyə dəyər, çünki ikisi daim qarışdırılır. Cavablandırılmalı sual sızan faylın sertifikat, yoxsa imzalama açarı olduğudur və faylın məzmununa qısa baxış bunu həll edir. Sertifikat açıq açar və imza daşıyır; imzalama açarı orada ümumiyyətlə görünmür.

Paylanma yenə də diqqət tələb edir. Müştərilər sertifikatı yapışdırma saytından deyil, təsdiqlənmiş profil çatdırılma yolu ilə almalıdır və etibarsız marşrutla gələn sertifikat yolda dəyişdirilə bilər.

Qarşı tərəf açarı və tls-auth sirri deyil

Qarşı tərəfin şəxsi açarı kimlik materialıdır. O kopyalandıqdan sonra server nəzərdə tutulan cihazı kopyanı saxlayan hər kəsdən ayıra bilməz, çünki nümayiş etdirilən xüsusiyyət məhz müstəsna sahiblik idi. Davam edən avtorizasiya və dəyişdirmə VPN sahibinin qərarıdır, faylı tapanın deyil.

tls-auth sirri üçüncü şeydir. O, idarəetmə kanalı paketləri ətrafında HMAC autentifikasiyası əlavə edir ki, səhv autentifikasiya olunmuş paketlər TLS mübadiləsindən əvvəl atılsın və o, nə qarşı tərəfin şəxsi açarıdır, nə də tətbiq məlumatlarını şifrələyən açardır.

Əgər o paylaşılan sirr açıqdırsa, onun verdiyi baryer ona sahib olan hər kəs üçün yox olub. Bundan çıxmır ki, hər sahib onun arxasındakı sertifikat və istifadəçi yoxlamalarından keçir, buna görə də təsnifat həyəcan səviyyəsindən daha vacibdir. Hansı baryerin yıxıldığını və hansıların qaldığını deyin.

Sızan rolu təmir edin, qonşunu yox

Paylaşılan sirri faylın adını dəyişməklə və ya yükləmə linkini gizlətməklə yenidən şəxsi etmək olmaz. Dəyişdirmə yeni dəyər yaratmaq və onu əlaqələndirilmiş dəyişikliklə hər qarşı tərəfə paylamaq deməkdir və yalnız bir tərəfi dəyişmək köhnə dəyəri saxlayan hər kəs üçün düzəni pozur.

Qarşı tərəf kimliyi ifşa olunubsa, həmin kimlik üçün operatorun ləğv və yenidən qeydiyyat prosesindən istifadə edin. Əlaqəsiz hesab parolunun dəyişdirilməsi kopyalanmış sertifikatı etibarsız etmir, tls-auth faylının dəyişdirilməsi də etmir.

Hər hansı birinə güvənməzdən əvvəl yerləşdirilmiş serverin həqiqətən nə tətbiq etdiyini təsdiqləyin. Yenilənməyən ləğv siyahısı və ya kəsinti zamanı söndürülmüş rol yoxlaması cavabı tamamilə dəyişir. Repozitoriya kopyasını deyil, işləyən konfiqurasiyanı oxuyun.

Keçmiş trafiki öz şərtləri ilə qiymətləndirin

İfşa olunmuş fayl özlüyündə əvvəllər tutulmuş sessiyaların deşifrə oluna biləcəyini demir. Bu, açar qurma üsulundan, ifşa olunmuş materialdan və hansı qeydlərin mövcud olduğundan asılıdır və həm «bütün trafik itdi», həm də «heç nə olmadı» bu faktlar olmadan təxmindir.

Hansı kateqoriyaya aid olduğunu soruşarkən etimad məlumatının başqa kopyasını yerləşdirməyin. Əvəzində direktiv adlarını və sirr olmayan metadatanı təsdiqlənmiş dəstək yolu ilə paylaşın.

Faydalı nəticə obyekti, onun rolunu, itirilmiş müdafiəni və tələb olunan əlaqələndirilmiş hərəkəti adlandırır. Bundan qısa olan hər şey qiymətləndirmə deyil, başlıqdır.