OpenVPN paket HMAC autentifikasiyası uğursuz oldu: hansı qat?

İki nasazlıq eyni lüğətlə bildirilir və demək olar ki, heç bir ortaqlığı yoxdur. Biri autentifikasiya etiketi təsdiqlənməyən paketdir; digəri isə etimadnaməsi rədd edilən şəxsdir. Birincini ikinci kimi qəbul etmək sizi heç vaxt problem olmayan parol axtarışına göndərir.

Mesaj qatın adını çəkir və faydalı iş hər hansı materialı dəyişməzdən əvvəl hansı qat olduğunu müəyyən etməkdir. Namizədləri yan-yana müqayisə etmək fərqi görməyin ən sürətli yoludur.

Bir sözü bölüşən iki nasazlıq

Paket autentifikasiyası xətası trafik emal edilərkən qalxır: alınan paketdəki etiket və ya həzm qəbuledicinin hesabladığı ilə uyğun gəlmir. Hesabın rədd edilməsi giriş mübadiləsi təhlil edildikdən sonra baş verir və paketi deyil, istifadəçini adlandırır. Üçüncü mesaj, gələn paketdə HMAC tapılmaması barədədir və yenə başqadır, çünki orada paket gözlənilən autentifikasiya elementi olmadan gəlib. Tam jurnal prefiksi üçündən hansının sizdə olduğunu deyir və xəta bilete yapışdırılarkən adətən ilk silinən şey məhz prefiksdür.

Fərq təmiri dəyişir. Biri kanal parametrlərinin uyğunlaşdırılmasını, digəri hesab vəziyyətini, üçüncüsü isə çatdığı dinləyiciyə uyğun gəlməyən profili tələb edir.

İşləyən prosesin həqiqətən nə yüklədiyini müqayisə edin

Diskdəki düzgün fayl redaktə edilməzdən əvvəl başlamış proses haqqında heç nə sübut etmir. Seçilmiş profili, əlaqə saxladığı son nöqtəni və dəyişiklikdən sonra xidmətin yenidən yüklənib-yüklənmədiyini yoxlayın. Son nöqtənin profilə aid olduğunu da təsdiqləyin, çünki köhnə fayl başqa bir şey gözlədiyi yerdə başqa instansiya və ya başqa xidmət dinləyə bilər.

Dəstəklənən profili eyni mənbədən yenidən ixrac etmək ucuz müqayisədir, çünki konfiqurasiya edildiyini düşündüyünüzlə müştərinin həqiqətən göndərdiyi arasındakı sürüşməni aradan qaldırır. Yeni açar materialı yaratmaq daha böyük addımdır və yalnız hər iki tərəf birlikdə qəbul etsə kömək edir. Bir tərəfi yerli olaraq dəyişmək aradan qaldırmağa çalışdığınız uyğunsuzluğu yenidən yaradır.

Nəzarət kanalını data kanalı ilə müqayisə edin

İki mexanizm əlaqənin müxtəlif hissələrini autentifikasiya edir və ayrıca konfiqurasiya olunur, 2.6 seçim arayışı bunu təsvir etdiyi kimi. tls-auth nəzarət kanalı paketlərinə HMAC əlavə edir və iki tərəfdaşda əks olmalı bir istiqamət arqumenti qəbul edir, halbuki tls-crypt nəzarət kanalını bunun əvəzinə ortaq açarla qoruyur. Heç biri data kanalının öz bütövlük yoxlaması deyil. AEAD data şifrəsi ilə həmin yoxlama şifrənin içinə qurulub, ona görə ayrıca auth həzm qeyri-AEAD şifrədə olduğu kimi istifadə olunmur.

Bu o deməkdir ki, auth sətri işlək qeyri-AEAD quraşdırmasından kopyalanmış halda AEAD quraşdırmasında əhəmiyyətsiz ola bilər, AEAD quraşdırması isə nəzarət kanalında yenə də uğursuz ola bilər, əgər tls-auth açar və ya onun istiqaməti səhvdirsə. Hər parametri yadda saxlanılan konfiqurasiya ilə deyil, tərəfdaşla müqayisə edin.

Təmiri imtina etdiyiniz xassə ilə müqayisə edin

Paket autentifikasiyasını söndürmək xəbərdarlığı susdurur və uyğunsuzluğu tapan yoxlamanı aradan qaldırır ki, bu profili təmir etməklə eyni şey deyil. Hansı xassədən imtina etdiyinizi və dizaynın onsuz da davam edib-etmədiyini soruşun.

Dəyişiklik etməzdən əvvəl hər iki tərəfdə ilk uyğun hadisəni oxuyun, sonra yalnız onun adını çəkdiyi uyğunsuzluğu dəyişin.

Növbəti cəhd sertifikat və ya giriş xətasına qədər irəliləyirsə, bu geriləmə deyil, irəliləyişdir: paket qatı artıq razılaşır və əlaqə davam edib. Dəyişikliyi yaradan parametrləri qeyd edin ki, növbəti şəxs sirr deyil, izahat miras alsın.