Šta openssl dhparam -check provjerava, a šta propušta

Proći dhparam -check izgleda kao presuda o Diffie-Hellman postavci vašeg VPN-a. Nije. Naredba poredi jednu datoteku parametara s aritmetikom koju navodno zadovoljava i ne kaže ništa o tome da li veličina grupe odgovara vašoj politici ili da li tunel uopće učitava tu datoteku. Čitati je kao sigurnosni pregled je pretpostavka koju prvo treba ispraviti.

Datoteka parametara sadrži prost broj i generator. Valjanost je osobina tih brojeva, dok je snaga procjena o vašem modelu prijetnji i vašim partnerima, i to dvoje nije zamjenjivo.

Šta provjera valjanosti zapravo potvrđuje

Pokrenite provjeru nad datotekom koju imate i pročitajte odgovor. openssl dhparam -in dh.pem -check -noout izvodi provjere parametara i potiskuje kodirani izlaz. Poruka da parametri izgledaju ispravno znači da su vrijednosti strukturno dosljedne; ne znači da je kratka grupa prihvatljiva u vašem okruženju.

Generisanje bez -dsaparam daje sigurne proste brojeve, gdje je (p-1)/2 također prost, zato to traje tako dugo. Put u stilu DSA gradi parametre brže i pretvara ih u DH oblik, a OpenSSL priručnik na njihovo korištenje veže dodatne zahtjeve za svježe ključeve. Nijedna konstrukcija nije sesijska tajna: datoteka je javni konfiguracijski materijal, ne privatni ključ certifikata i ne zajednička tajna kontrolnog kanala.

Pročitajte veličinu i generator prije nego što procijenite datoteku

Rezultat valjanosti znači više kada znate šta je provjereno. Ispišite parametre pomoću openssl dhparam -in dh.pem -text -noout, pa zabilježite dužinu prostog broja i vrijednost generatora.

Uporedite tu dužinu s pisanom politikom, a ne s navikom. Ako je vaš zahtjev odobrena imenovana grupa iz modernog TLS steka, ručno generisana datoteka može biti potpuno pogrešan artefakt. Zapišite oba broja u zapis promjena da sljedeći recenzent ne mora ponovo da ih izvodi.

Ne pretvarajte pregled u ponovno generisanje

Način kvara ovdje je naredba koja izgleda kao provjera, a ponaša se kao generator. Dodavanje bitne dužine, kao u openssl dhparam -check 2048, traži nove parametre i ulazna datoteka se ignoriše. Opcija generatora može učiniti isto. Ako ste samo htjeli pregledati, proslijedite -in i -check i ništa što opisuje veličinu.

Pisanje izlaza preko originalne putanje zaslužuje istu sumnju, jer priručnik upozorava da izlaz u datoteku nije atoman. Pad usred pisanja ostavlja skraćenu datoteku parametara i servis koji se neće pokrenuti.

Uskladite grupu s protokolom, a ne s trendom

Politika veličine je odluka koju alat ne može pročitati umjesto vas. Grupa konačnog polja od 2048 bita uobičajen je minimum, a veće grupe koštaju vrijeme rukovanja, zato odaberite broj koji navodi vaša vlastita osnovna linija i zapišite ga. Široko korištene grupe nisu slabe zato što su javne; nepoznatost ovdje ništa ne dodaje.

Gdje stek podržava odobrene imenovane grupe, slijedite taj dokumentovani raspored umjesto generisanja neobičnih parametara da bi izgledali jedinstveno. Imenovana grupa je nešto što partner može prepoznati i recenzent pronaći, što vrijedi više od posebne datoteke koju niko ne može klasifikovati.

Potvrdite da VPN uopće učitava datoteku

Ispravna datoteka parametara koju nijedan proces ne čita ne mijenja ništa. U OpenVPN serverska direktiva je dh s putanjom, a instalacije koje se oslanjaju na ECDH ili TLS 1.3 razmjenu ključeva mogu umjesto toga postaviti dh none. Provjerite pokrenutu konfiguraciju, a ne šablon, pa potvrdite da klijenti i partneri pregovaraju istu konstrukciju.

Zatvorite krug dokazima koji vam zaista trebaju: grupa o kojoj je tunel pregovarao, dužina parametara u datoteci i linija politike koju ta dužina zadovoljava. Uspješna provjera je jedna stavka na tom spisku. Tretirati je kao cijeli odgovor je način na koji kratka grupa preživi reviziju koja je trebala da je uhvati.