Statik açar faylındakı bit sayı OpenVPN şifrə gücü deyil

Skaner və ya həmkar OpenVPN statik açar faylının içində çap olunmuş bit sayını göstərib soruşur ki, tunel niyə bu ölçüdə şifrə istifadə etmir. Sual ağlabatan səslənir, cavab isə rəqəm deyil: banner saxlanılan açar materialını sayır, şifrə isə yalnız öz açar ölçüsünün tələb etdiyi hissəni istehlak edir. Bu cəmi güc parametri kimi qəbul etmək heç nəyi dəyişməyən düzəlişlərə aparır. Format hər hansı bir alqoritmin istifadə etdiyindən daha çox material saxlamaq üçün qurulub.

Burada iki sual qarışır: fayl nə qədər açar materialı saxlayır və razılaşdırılmış şifrə nə qədər güclüdür. Tuneli yalnız ikincisi təsvir edir.

Bannerdəki rəqəm əslində nəyi sayır

Konteyner şifrə materialını və HMAC materialını ayrı strukturlar kimi seriyalaşdırır, ikiistiqamətli forma isə iki belə dəst saxlayır ki, hər istiqamət öz açarlarını daşıya bilsin. Yazma kodu çap olunan sayı seriyalaşdırılmış strukturların sayından, onların ölçüsündən və bayt başına səkkiz bitdən çıxarır. Bu, yaddaş üzərində hesabdır, bir şifrənin hər saxlanılan baytı istifadə etdiyi iddiası deyil. Başlıq həmçinin şifrə materialı üçün maksimum ayrılan həcmi sabitləyir ki, kitabxana dəyişikliyi formatı səssizcə yenidən ölçəndirməsin.

Bunu sertifikat açarı ilə müqayisə edin, orada bit sayı həqiqətən bir obyektin ölçüsünü təsvir edir. 4,096 bitlik RSA açarı ilə bannerində 4,096 bit yazılan açar faylı fərqli işləri olan fərqli artefaktlardır və onları bir düymədə iki parametr kimi düzmək pis nəticələr doğurur.

Bir faylda iki açar dəsti

Faylın hər yarısı şifrələmə və autentifikasiya materialı verir, çünki əvvəlcədən paylaşılmış açar rejimi paketləri bu ayrı hissələrlə hər iki istiqamətdə qoruyur. Aktiv şifrə yalnız öz açar ölçüsünün tələb etdiyi baytları istifadə edir, həzm isə öz çıxış ölçüsünü, buna görə də istifadə edilə bilən güc faylın uzunluğundan deyil, seçimlərdən gəlir. Onaltılıq bloku uzatmaq konfiqurasiya olunmuş alqoritmdən daha çoxunu istehlak etməsini istəmir. Şərhi daha böyük rəqəmlə redaktə etmək daha da az şey dəyişir.

Əgər həqiqətən daha uzun açar istəyirsinizsə, dəyişdirilməli parametr şifrə və ya həzmdir, generator isə seçilmiş alqoritmlərin tələb etdiyini istehsal edir.

Profili oxumaq hansı rejimdə olduğunuzu deyir

Eyni fayl formatı iki tamamilə fərqli işə xidmət edir və hansının sizdə olduğunu yalnız profil deyir. Köhnə secret sətri faylı tunelin yeganə açar materialına çevirir, tls-auth və ya tls-crypt isə onu sertifikatlarla yanaşı idarə kanalı qorumasına çevirir. Heç bir istifadə onu müştərinin sertifikat şəxsi açarına çevirmir, blok nə qədər oxşar görünsə də. Əvəzedici yaratmazdan əvvəl seçimi və versiyanı müəyyən edin və simvol əlavə etmək əvəzinə sənədləşdirilmiş generatordan istifadə edin.

Bu fərq məruz qalmağa cavabı da müəyyən edir. Sızana tls-auth açarı sessiya açarlarını açmır, lakin hücumçuya idarə kanalı trafikini yeritməyə imkan verir, ona görə də yenə də dəyişdirilməlidir. Sızmış secret açarı daha pisdir, çünki verilənlərin özünü qoruyan material o idi.

Təhlükəsizlik icmalı nəyi qeyd etməlidir

Üç şeyi ayrıca qeyd edin: razılaşdırılmış verilənlər kanalı qoruması, idarə kanalı qoruması və həmyaşıdların necə autentifikasiya etdiyi. data-ciphers AES-256-GCM kimi bir sətir yalnız birincini təsvir edir və orada dayanan hesabat idarə kanalının ümumiyyətlə qorunub-qorunmadığına cavab verə bilməz. Statik açar faylı tls-auth və ya tls-crypt ilə istifadə edildikdə ikinci səbətə aiddir, istifadə edilmədikdə heç birinə aid deyil. Səbətləri qarışdıran rəyçilər daha güclü şifrə istədikləri halda daha böyük açar faylı tələb edirlər.

Fayl məruz qalıbsa, onu təsdiqlənmiş kanal vasitəsilə döndərin və yenidən paylayın. Kompromisə uğramış sirrə simvol əlavə etmək döndərmə deyil və məruz qalmış materialı etibarlı saxlayır.

Döndərmə qeydini aid olduğu profillə birlikdə saxlayın. Növbəti icmal soruşacaq hansı açar hansı dövrü qoruyub, və banner buna cavab verməyəcək.