openssl dhparam -check nəyi yoxlayır və nəyi qaçırır

dhparam -check yoxlamasından keçmək VPN-inizin Diffie-Hellman quruluşu barədə hökm kimi hiss olunur. Belə deyil. Əmr bir parametr faylını iddia etdiyi arifmetika ilə müqayisə edir və qrup ölçüsünün siyasətinizə uyğun olub-olmadığını, yaxud tunelin o faylı ümumiyyətlə yükləyib-yükləmədiyini demir. Onu təhlükəsizlik auditi kimi oxumaq ilk düzəldilməli ehtimaldır.

Parametr faylı sadə ədəd və generator saxlayır. Etibarlılıq həmin ədədlərin xassəsidir, güc isə təhdid modeliniz və həmkarlarınız barədə mühakimədir, ikisi bir-birini əvəz etmir.

Etibarlılıq yoxlaması əslində nəyi təsdiqləyir

Yoxlamanı əlinizdəki fayl üzərində işlədin və cavabı oxuyun. openssl dhparam -in dh.pem -check -noout parametr yoxlamalarını yerinə yetirir və kodlanmış çıxışı basdırır. Parametrlərin qaydasında göründüyünə dair mesaj dəyərlərin strukturca uyğun olduğunu bildirir; qısa qrupun mühitinizdə məqbul olması demək deyil.

-dsaparam olmadan yaratma təhlükəsiz sadə ədədlər verir, burada (p-1)/2 də sadə ədəddir, buna görə də bu qədər uzun çəkir. DSA üslublu yol parametrləri daha sürətli qurur və onları DH formasına çevirir, OpenSSL təlimatı isə onlardan istifadəyə əlavə təzə açar tələbləri bağlayır. Heç bir konstruksiya sessiya sirri deyil: fayl açıq konfiqurasiya materialıdır, sertifikatın şəxsi açarı deyil və idarə kanalının ortaq sirri deyil.

Faylı mühakimə etməzdən əvvəl ölçünü və generatoru oxuyun

Etibarlılıq nəticəsi nəyin yoxlanıldığını bildikdə daha çox şey ifadə edir. Parametrləri openssl dhparam -in dh.pem -text -noout ilə çap edin, sonra sadə ədədin uzunluğunu və generator dəyərini qeyd edin.

Bu uzunluğu vərdişlə deyil, yazılı siyasətlə müqayisə edin. Tələbiniz müasir TLS yığınından təsdiqlənmiş adlı qrupdursa, əl ilə yaradılmış fayl tamamilə yanlış artefakt ola bilər. Hər iki rəqəmi dəyişiklik qeydinə yazın ki, növbəti rəyçi onları yenidən çıxarmasın.

Yoxlamanı yenidən yaratmaya çevirməyin

Buradakı uğursuzluq rejimi yoxlamaya bənzəyən və generator kimi davranan əmrdir. Bit uzunluğu əlavə etmək, openssl dhparam -check 2048 kimi, yeni parametrlər istəyir və giriş faylı nəzərə alınmır. Generator seçimi də eyni şeyi edə bilər. Yalnız baxmaq istəyirdinizsə, -in və -check verin, ölçü təsvir edən heç nə verməyin.

Çıxışı orijinal yolun üzərinə yazmaq eyni şübhəni haqlayır, çünki təlimat fayl çıxışının atomik olmadığını xəbərdar edir. Yazma zamanı qəza yarımçıq parametr faylı və başlamayan xidmət qoyur.

Qrupu trendə deyil, protokola uyğunlaşdırın

Ölçü siyasəti alətin sizin üçün oxuya bilmədiyi qərardır. 2048 bitlik sonlu sahə qrupu geniş yayılmış minimumdur və daha böyük qruplar əl sıxma vaxtına başa gəlir, ona görə öz baza xəttinizin adlandırdığı rəqəmi seçin və yazın. Geniş istifadə olunan qruplar açıq olduqları üçün zəif deyil; qaranlıqlıq burada heç nə əlavə etmir.

Yığın təsdiqlənmiş adlı qrupları dəstəklədiyi yerdə, unikal görünmək üçün qeyri-adi parametrlər yaratmaq əvəzinə o sənədləşdirilmiş düzülüşə əməl edin. Adlı qrup həmkarın tanıya biləcəyi və rəyçinin axtara biləcəyi bir şeydir, bu da heç kimin təsnif edə bilmədiyi fərdi fayldan dəyərlidir.

VPN-in faylı ümumiyyətlə yüklədiyini təsdiqləyin

Heç bir prosesin oxumadığı düzgün parametr faylı heç nəyi dəyişmir. OpenVPN daxilində server direktivi yol ilə dh-dir və ECDH və ya TLS 1.3 açar mübadiləsinə güvənən yerləşdirmələr əvəzinə dh none təyin edə bilər. Şablonu deyil, işləyən konfiqurasiyanı yoxlayın, sonra müştərilərin və həmkarların eyni konstruksiyanı razılaşdırdığını təsdiqləyin.

Dövrəni həqiqətən lazım olan sübutlarla bağlayın: tunelin razılaşdırdığı qrup, fayldakı parametr uzunluğu və o uzunluğun cavab verdiyi siyasət sətri. Keçən yoxlama həmin siyahıda tək bir bənddir. Onu bütün cavab kimi qəbul etmək qısa qrupun tutmalı olduğu auditdən sağ çıxma üsuludur.