Je li taj objavljeni OpenVPN ključ CA, ključ partnera ili tls-auth?

Neko prijavi da je VPN ključ javan, a ta rečenica krije tri potpuno različite situacije. To može biti CA certifikat koji bi trebao imati svaki klijent, privatni identitetski ključ koji nikada nije smio napustiti jedno računalo, ili zajednička tajna kontrolnog kanala koju obje strane moraju držati. Popravak, hitnost i obim štete razlikuju se u svakom slučaju, pa je prvi zadatak klasifikacija, a ne djelovanje. Pogriješite li kategoriju, svaki daljnji korak je uzaludan trud.

Pođite od direktive, a ne od naziva datoteke

Pročitajte aktivnu konfiguraciju i pronađite koja direktiva pokazuje na dotični materijal. OpenVPN-ove TLS opcije koriste ca za pouzdani certifikatni materijal, cert za certifikat lokalnog partnera i key za privatni ključ koji mu pripada.

Nazivi datoteka ništa ne dokazuju. Datoteka nazvana key.pem može sadržavati certifikat, a ugrađeni blok u profilu može sadržavati točno isti objekt kao zasebna datoteka na disku. Otvorite datoteku i pogledajte njezino zaglavlje umjesto da vjerujete nazivu. Ta jedna provjera uklanja većinu nejasnoća u prijavi.

Ako je profil PKCS#12 paket, raspakirajte ga na kontroliranom mjestu da vidite što zapravo sadrži. Jedan paket može nositi certifikat, njegov lanac i privatni ključ, što znači da je curenje paketa curenje sva tri.

Zapišite klasifikaciju prije nego itko promijeni datoteku: objekt, direktiva, koji partneri ga drže i tko ga može čitati. O toj rečenici ovisi ostatak odgovora.

CA certifikat je namijenjen dijeljenju

Javni CA certifikat je materijal povjerenja. Klijenti ga trebaju za provjeru poslužitelja, a njegova distribucija je uobičajen slučaj, a ne incident. Njegovo objavljivanje ne objavljuje CA-ov privatni ključ za potpisivanje, a upravo je taj objekt onaj koji bi napadaču omogućio stvaranje novih identiteta.

Tu razliku vrijedi izričito navesti u kartici, jer se dvije stvari stalno brkaju. Pitanje na koje treba odgovoriti jest je li procurjela datoteka certifikat ili ključ za potpisivanje, a brz pogled u sadržaj datoteke to rješava. Certifikat nosi javni ključ i potpis; ključ za potpisivanje u njemu se uopće ne pojavljuje.

Distribucija ipak zaslužuje pažnju. Klijenti bi certifikat trebali dobiti odobrenim putem za dostavu profila, a ne s mjesta za lijepljenje, a certifikat koji stigne nepouzdanim putem može biti zamijenjen na putu.

Ključ partnera i tls-auth tajna nisu

Privatni ključ partnera je identitetski materijal. Nakon što se kopira, poslužitelj više ne može razlikovati namijenjeni uređaj od bilo koga tko drži kopiju, jer je isključivo posjedovanje bilo svojstvo koje se dokazivalo. Nastavak autorizacije i zamjena odluke su vlasnika VPN-a, a ne onoga tko je pronašao datoteku.

Tajna tls-auth je treća stvar. Ona dodaje HMAC autentifikaciju oko paketa kontrolnog kanala tako da se pogrešno autentificirani paketi odbacuju prije TLS razmjene, i nije ni privatni ključ partnera ni ključ koji šifrira podatke aplikacije.

Ako je ta zajednička tajna javna, barijera koju je pružala nestala je za svakoga tko ju ima. Iz toga ne slijedi da svaki vlasnik prolazi provjere certifikata i korisnika iza nje, zato je klasifikacija važnija od razine uzbune. Recite koja je barijera pala i recite koje su ostale.

Popravite ulogu koja je procurila, a ne susjednu

Zajednička tajna ne može se ponovno učiniti privatnom preimenovanjem datoteke ili skrivanjem veze za preuzimanje. Zamjena znači generiranje nove vrijednosti i njezinu distribuciju svakom partneru u koordiniranoj promjeni, a zamjena samo jedne strane kvari dogovor za sve koji još drže staru vrijednost.

Ako je identitet partnera bio izložen, upotrijebite operaterov postupak opoziva i ponovne registracije za taj identitet. Promjena lozinke nepovezanog računa ne poništava kopirani certifikat, a ni zamjena datoteke tls-auth.

Potvrdite što implementirani poslužitelj zapravo provodi prije nego se oslonite na bilo što od toga. Popis opoziva koji se ne osvježava ili provjera uloge koja je bila isključena tijekom prekida potpuno mijenja odgovor. Čitajte pokrenutu konfiguraciju, a ne kopiju iz repozitorija.

Procijenite prošli promet po njegovim vlastitim uvjetima

Izložena datoteka sama po sebi ne kaže mogu li se prethodno snimljene sesije dešifrirati. To ovisi o metodi uspostave ključa, izloženom materijalu i tome koji zapisi postoje, a i ‘sav promet je izgubljen’ i ‘ništa se nije dogodilo’ nagađanja su bez tih činjenica.

Ne objavljujte još jednu kopiju vjerodajnice dok pitate kojoj kategoriji pripada. Umjesto toga podijelite nazive direktiva i ne-tajne metapodatke odobrenim putem podrške.

Koristan zaključak imenuje objekt, njegovu ulogu, izgubljenu zaštitu i potrebno koordinirano djelovanje. Sve kraće od toga je naslov, a ne procjena.