tls-auth və tls-crypt: OpenVPN-də hər biri nəyi qoruyur

Hər iki seçim ortaq açar faylı qəbul edir və hər ikisi əl sıxma trafikini saxtalaşdırmağı çətinləşdirir; buna görə də onlara eyni funksiyanın iki adı kimi baxılır. Bu doğru deyil. Biri idarəetmə paketlərini imzalayır, digəri onları həm də şifrələyir və heç birinin yükünüzü qoruyan şifrə ilə əlaqəsi yoxdur.

Bu fərq profil qoşula bilmədikdə, təhlükəsizlik yoxlaması açarın nəyi qoruduğunu soruşduqda və kimsə əlavə faylın tuneli qeyri-müəyyən şəkildə şifrələdiyini güman etdikdə önəm kəsb edir.

Ortaq açar əslində nəyi qoruyur

Bu seçimlərin istifadə etdiyi açar idarəetmə kanalına aiddir: parametrləri razılaşdıran, kimlikləri sübut edən və məlumat açarlarını çıxaran mübadilə. Bu, əl sıxma davam etməzdən əvvəl hər iki ucun saxlamalı olduğu əvvəlcədən paylaşılmış sirdir. Kimlik yoxlamalarından əvvəl gəldiyi üçün səhv açar söhbəti səhv paroldan daha erkən dayandırır. Bu sıra nasazlıq rejiminin niyə bu qədər səssiz olduğunu izah edir.

tls-auth bu sirdən idarəetmə paketləri üzərində HMAC hesablamaq üçün istifadə edir. Etibarlı imzası olmayan paket daha bahalı TLS emalına çatmadan atılır; buna görə də seçim çox vaxt TLS-in əvəzi deyil, ilk filtr kimi təsvir olunur.

tls-crypt daha irəli gedir: qorunan idarəetmə trafikini həm autentifikasiya edir, həm də şifrələyir. Sertifikat məzmunu, razılaşdırılmış şifrə adları və digər əl sıxma detalları artıq şəbəkədə görünmür və açarı olmayan müşahidəçi hansı TLS versiyasının sınandığını belə görə bilmir. VPN barmaq izini açmaqdan narahat olan yerləşdirmə üçün bu xüsusiyyət onu seçməyin əsas səbəbidir. O, hələ də qrup sirridir, istifadəçi başına etimad deyil.

Heç bir mexanizm kimlik vermir. Ortaq açar qrup sirridir və ona sahib olan hər kəs yoxlamanın bu qatını keçə bilər.

İki seçim harada fərqlənir

Müşahidə edilə bilən fərq müşahidəçinin gördüyüdür. tls-auth ilə əl sıxma görünür, lakin açar olmadan yoxlanıla bilməz. tls-crypt ilə əl sıxma açarı olmayan hər kəs üçün qeyri-şəffafdır.

Konfiqurasiya da fərqlənir. tls-auth istiqamət dəyəri ilə istifadə olunur, yəni bir tərəf açar materialının bir yarısını, digər tərəf isə o biri yarısını istifadə edir. tls-crypt hər iki istiqamətdə tək açar istifadə edir, ona görə də istiqamət direktivi onun quruluşunun hissəsi deyil.

Müasir buraxılışlarda iki seçim bir-birini istisna edir. Profil onlardan birini daşımalıdır, hər ikisini deyil, və serverlə müştəri uyğun açar materialı ilə hansının olduğunda razılaşmalıdır. Köhnə direktivi yeninin yanında saxlamaq adi miqrasiya qalığıdır. Qeyri-aktiv olanı silin ki, növbəti oxucu hansı qatın həqiqətən qüvvədə olduğunu bilsin.

Daha yeni variant, tls-crypt-v2, hər müştərini öz bükülmüş açarına bağlayır ki, bir müştərinin ləğvi qrup açarının yenidən verilməsini tələb etməsin. Bu barədə bilmək dəyərlidir, amma o, fərqli seçimdir və buradakı ikisindən heç birinin sinonimi deyil.

Niyə uyğunsuzluq heç nə olmamış kimi görünür

Ortaq material uyğun gəlmədikdə peer paketləri göndərənə səbəb demədən atır. Oxumaq üçün autentifikasiya xətası yoxdur, çünki paket onu yaradacaq qata heç vaxt çatmayıb.

Müştəri yenidən cəhd edir, server heç nə demir və simptom şəbəkə problemi kimi görünür. Sonra insanlar xidməti yenidən başladır, hesab parolunu yenidən yazır və ya «sınamaq» üçün qoruma direktivini silir; bu isə diaqnoz qoymaq əvəzinə yerləşdirməni dəyişir.

Son yenidən cəhd sətri əvəzinə server jurnalında ilk paket səviyyəli şikayəti oxuyun. Hər iki tərəfin eyni açar materialı ilə eyni seçimi daşıdığını və açar faylının yalnız bir tərəfdə yenidən yaradılmadığını təsdiqləyin.

Direktivi silmək təhlükəsiz təmir deyil. Bu, hər müştəri üçün bir qoruma qatını söndürür və sonradan işləyən tunel yalnız o qatın uyğunsuzluq olduğunu sübut edir.

Nə hələ də ayrıca konfiqurasiya olunmalıdır

Bu seçimlər peerin kim olduğunu yoxlamır. Sertifikat yoxlaması, etimad çıxış nöqtəsi və gözlənilən server adı ayrı tələblər olaraq qalır və ortaq açar olduğu üçün heç biri opsional olmur.

Onlar həm də məlumat şifrəsini seçmirlər. Bu, hər iki peerin məlumat kanalı parametrləri ilə idarə olunan ayrı razılaşmadır, və tls-crypt ilə qorunan tunel yenə də nəzərdə tutmadığınız şifrədən istifadə edə bilər.

Nəhayət, ortaq açarın özü ilə davranmaq lazımdır. Ona sirr kimi yanaşın, təsdiqlənmiş kanaldan paylayın və onu saxlayan hər kəs ayrıldıqda dəyişdirin. Ortaq olduğu üçün onun açılması ondan istifadə edən hər son nöqtənin açılması deməkdir.