Какво проверява openssl dhparam -check и какво пропуска

Преминаването на dhparam -check се усеща като присъда върху Diffie-Hellman настройката на вашия VPN. Не е. Командата сравнява един файл с параметри с аритметиката, която твърди, че удовлетворява, и не казва нищо за това дали размерът на групата отговаря на политиката ви, или дали тунелът изобщо зарежда този файл. Да я четете като одит на сигурността е предположението, което си струва да коригирате първо.

Файлът с параметри съдържа просто число и генератор. Валидността е свойство на тези числа, докато силата е преценка за вашия модел на заплахи и вашите партньори, и двете не са взаимозаменяеми.

Какво всъщност потвърждава проверката за валидност

Изпълнете проверката върху файла, който имате, и прочетете отговора. openssl dhparam -in dh.pem -check -noout извършва проверките на параметрите и потиска кодирания изход. Съобщение, че параметрите изглеждат добре, означава, че стойностите са структурно съгласувани; то не означава, че кратка група е приемлива във вашата среда.

Генерирането без -dsaparam дава безопасни прости числа, където (p-1)/2 също е просто, затова отнема толкова дълго. Пътят в стил DSA изгражда параметри по-бързо и ги преобразува във форма DH, а ръководството на OpenSSL прикачва допълнителни изисквания за нови ключове към използването им. Нито една от двете конструкции не е сесиен секрет: файлът е публичен конфигурационен материал, а не частният ключ на сертификата и не споделеният секрет на контролния канал.

Прочетете размера и генератора, преди да съдите файла

Резултатът за валидност означава повече, когато знаете какво е било валидирано. Отпечатайте параметрите с openssl dhparam -in dh.pem -text -noout, после отбележете дължината на простото число и стойността на генератора.

Сравнете тази дължина с писмена политика, а не с навик. Ако изискването ви е одобрена именувана група от модерен TLS стек, ръчно генериран файл може да е напълно грешен артефакт. Запишете и двете числа в записа за промени, за да не се налага следващият рецензент да ги извежда отново.

Не превръщайте огледа в прегенериране

Режимът на отказ тук е команда, която изглежда като проверка и се държи като генератор. Добавянето на битова дължина, както в openssl dhparam -check 2048, изисква нови параметри и входният файл се игнорира. Опция за генератор може да направи същото. Ако сте искали само да прегледате, подайте -in и -check и нищо, което описва размер.

Записването на изход върху оригиналния път заслужава същото подозрение, защото ръководството предупреждава, че файловият изход не е атомарен. Срив по време на запис оставя съкратен файл с параметри и услуга, която няма да стартира.

Съобразявайте групата с протокола, а не с тенденция

Политиката за размер е решение, което инструментът не може да прочете вместо вас. Група от крайно поле с 2048 бита е често срещан минимум, а по-големите групи струват време за ръкостискане, така че изберете числото, което вашата собствена базова линия посочва, и го запишете. Широко използваните групи не са слаби, защото са публични; незнайността тук не добавя нищо.

Където стекът поддържа одобрени именувани групи, следвайте тази документирана подредба, вместо да генерирате необичайни параметри, за да изглеждат уникални. Именуваната група е нещо, което партньорът може да разпознае и рецензентът да потърси, което струва повече от персонален файл, който никой не може да класифицира.

Потвърдете, че VPN изобщо зарежда файла

Правилен файл с параметри, който никой процес не чете, не променя нищо. В OpenVPN сървърната директива е dh с път, а внедряванията, които разчитат на ECDH или TLS 1.3 обмен на ключове, могат да зададат dh none вместо това. Проверете работещата конфигурация, а не шаблон, после потвърдете, че клиентите и партньорите договарят същата конструкция.

Затворете цикъла с доказателствата, които наистина ви трябват: групата, която тунелът е договорил, дължината на параметрите във файла и редът от политиката, на който тази дължина отговаря. Успешната проверка е един елемент в този списък. Да я третирате като целия отговор е начинът, по който кратка група оцелява при одит, който е трябвало да я хване.