Co openssl dhparam -check ověřuje a co přehlíží

Projít dhparam -check působí jako verdikt nad nastavením Diffie-Hellman vaší VPN. Není. Příkaz porovnává jeden soubor parametrů s aritmetikou, kterou údajně splňuje, a neříká nic o tom, zda velikost grupy odpovídá vaší politice nebo zda tunel ten soubor vůbec načítá. Číst ho jako bezpečnostní audit je předpoklad, který je třeba opravit jako první.

Soubor parametrů obsahuje prvočíslo a generátor. Platnost je vlastnost těchto čísel, zatímco síla je úsudek o vašem modelu hrozeb a vašich protějšcích, a obojí není zaměnitelné.

Co kontrola platnosti skutečně potvrzuje

Spusťte kontrolu na souboru, který máte, a přečtěte si odpověď. openssl dhparam -in dh.pem -check -noout provádí kontroly parametrů a potlačuje zakódovaný výstup. Zpráva, že parametry vypadají v pořádku, znamená, že hodnoty jsou strukturálně konzistentní; neznamená, že krátká grupa je ve vašem prostředí přijatelná.

Generování bez -dsaparam dává bezpečná prvočísla, kde je (p-1)/2 také prvočíslo, a proto to trvá tak dlouho. Cesta ve stylu DSA sestaví parametry rychleji a převede je do formy DH a příručka OpenSSL k jejich použití připojuje další požadavky na čerstvé klíče. Ani jedna konstrukce není tajemstvím sezení: soubor je veřejný konfigurační materiál, ne soukromý klíč certifikátu a ne sdílené tajemství řídicího kanálu.

Přečtěte velikost a generátor, než soubor posoudíte

Výsledek platnosti znamená víc, když víte, co bylo ověřeno. Vypište parametry pomocí openssl dhparam -in dh.pem -text -noout a pak si poznamenejte délku prvočísla a hodnotu generátoru.

Porovnejte tuto délku s psanou politikou, ne se zvykem. Pokud je vaším požadavkem schválená pojmenovaná grupa z moderního TLS stacku, ručně vygenerovaný soubor může být úplně špatný artefakt. Zapište obě čísla do záznamu změn, aby je další recenzent nemusel znovu odvozovat.

Nepřevádějte prohlídku v nové generování

Režim selhání je tu příkaz, který vypadá jako kontrola a chová se jako generátor. Přidání bitové délky, jako v openssl dhparam -check 2048, žádá nové parametry a vstupní soubor se ignoruje. Možnost generátoru může udělat totéž. Pokud jste chtěli jen nahlédnout, předejte -in a -check a nic, co popisuje velikost.

Zapisovat výstup přes původní cestu si zaslouží stejnou nedůvěru, protože příručka varuje, že zápis do souboru není atomický. Pád během zápisu zanechá zkrácený soubor parametrů a službu, která nenaběhne.

Slaďte grupu s protokolem, ne s trendem

Politika velikosti je rozhodnutí, které za vás nástroj nepřečte. Grupa konečného pole o 2048 bitech je běžné minimum a větší grupy stojí čas při handshake, takže zvolte číslo, které uvádí vaše vlastní základní linie, a zapište ho. Široce používané grupy nejsou slabé proto, že jsou veřejné; neznalost tu nic nepřidá.

Kde stack podporuje schválené pojmenované grupy, postupujte podle tohoto dokumentovaného uspořádání, místo abyste generovali neobvyklé parametry, aby vypadaly jedinečně. Pojmenovaná grupa je něco, co protějšek pozná a recenzent dohledá, což má větší cenu než soubor na míru, který nikdo nedokáže zařadit.

Ověřte, že VPN soubor vůbec načítá

Správný soubor parametrů, který žádný proces nečte, nic nemění. V OpenVPN je serverová direktiva dh s cestou a nasazení, která se spoléhají na ECDH nebo výměnu klíčů TLS 1.3, mohou místo toho nastavit dh none. Zkontrolujte běžící konfiguraci, ne šablonu, a pak potvrďte, že klienti a protějšky vyjednávají stejnou konstrukci.

Uzavřete smyčku důkazy, které skutečně potřebujete: grupa, kterou tunel vyjednal, délka parametrů v souboru a řádek politiky, který této délce odpovídá. Úspěšná kontrola je v tom seznamu jedna položka. Považovat ji za celou odpověď je způsob, jak krátká grupa přežije audit, který ji měl zachytit.