Ydy’r allwedd OpenVPN gyhoeddedig yn CA, yn allwedd cymar neu’n tls-auth?

Mae rhywun yn adrodd bod allwedd VPN yn gyhoeddus, ac mae’r frawddeg hon yn cuddio tri sefyllfa hollol wahanol. Gallai fod yn dystysgrif CA y mae disgwyl i bob cleient ei chael, yn allwedd hunaniaeth breifat na ddylai fod wedi gadael un peiriant erioed, neu’n gyfrinach sianel reoli a rennir y mae’n rhaid i’r ddau ben ei chadw. Mae’r atgyweiriad, y brys a maint yr effaith yn wahanol ym mhob achos, felly’r dasg gyntaf yw dosbarthu, nid gweithredu. Os cewch y categori’n anghywir, bydd pob cam dilynol yn ymdrech ofer.

Dechreuwch o’r gyfarwyddeb, nid o enw’r ffeil

Darllenwch y ffurfweddiad gweithredol a darganfod pa gyfarwyddeb sy’n pwyntio at y deunydd dan sylw. Mae opsiynau TLS OpenVPN yn defnyddio ca ar gyfer deunydd tystysgrif dibynadwy, cert ar gyfer tystysgrif y cymar lleol, a key ar gyfer yr allwedd breifat sy’n perthyn iddi.

Nid yw enwau ffeiliau’n profi dim. Gall ffeil o’r enw key.pem gynnwys tystysgrif, a gall bloc mewnosod yn y proffil gynnwys yr union wrthrych ag y mae ffeil ar wahân ar y disg. Agorwch y ffeil a sylwch ar ei phennawd yn lle ymddiried yn yr enw. Mae’r un gwiriad hwnnw’n dileu’r rhan fwyaf o’r amwysedd yn yr adroddiad.

Os yw’r proffil yn becyn PKCS#12, dadbaciwch ef mewn man dan reolaeth i weld beth sydd ynddo mewn gwirionedd. Gall un pecyn gludo tystysgrif, ei gadwyn ac allwedd breifat, sy’n golygu bod gollyngiad o’r pecyn yn ollyngiad o’r tri.

Ysgrifennwch y dosbarthiad i lawr cyn i unrhyw un newid ffeil: gwrthrych, cyfarwyddeb, pa gymheiriaid sy’n ei chadw, a phwy all ei darllen. Y frawddeg honno yw’r hyn y mae gweddill yr ymateb yn dibynnu arno.

Mae tystysgrif CA wedi’i chynllunio i’w rhannu

Mae tystysgrif CA gyhoeddus yn ddeunydd ymddiriedaeth. Mae cleientiaid ei hangen i wirio’r gweinydd, ac mae ei dosbarthu’n achos arferol yn hytrach nag yn ddigwyddiad. Nid yw ei chyhoeddi’n cyhoeddi allwedd lofnodi breifat y CA, sef y gwrthrych a fyddai’n caniatáu i ymosodwr fathu hunaniaethau newydd.

Mae’r gwahaniaeth hwnnw’n werth ei nodi’n benodol yn y tocyn, oherwydd mae’r ddau’n cael eu cymysgu’n gyson. Y cwestiwn i’w ateb yw ai’r dystysgrif ynteu’r allwedd lofnodi yw’r ffeil a ollyngwyd, ac mae un olwg gyflym ar gynnwys y ffeil yn setlo hynny. Mae tystysgrif yn cario allwedd gyhoeddus a llofnod; nid yw’r allwedd lofnodi’n ymddangos ynddi o gwbl.

Mae dosbarthu’n dal yn haeddu gofal. Dylai cleientiaid gael y dystysgrif drwy’r llwybr cyflenwi proffil cymeradwy, nid o safle gludo, a gellir disodli tystysgrif sy’n cyrraedd drwy lwybr anniogel ar y daith.

Nid yw allwedd cymar a chyfrinach tls-auth yn

Mae allwedd breifat cymar yn ddeunydd hunaniaeth. Unwaith y caiff ei chopïo, ni all y gweinydd wahaniaethu rhagor rhwng y ddyfais a fwriadwyd ac unrhyw un sy’n dal y copi, oherwydd meddiant unigryw oedd yr eiddo a oedd yn cael ei ddangos. Mae parhau awdurdodiad a disodli yn benderfyniadau i berchennog y VPN, nid i’r sawl a ddarganfu’r ffeil.

Mae cyfrinach tls-auth yn drydydd peth. Mae’n ychwanegu dilysiad HMAC o amgylch pecynnau’r sianel reoli fel bod pecynnau a ddilyswyd yn anghywir yn cael eu gwaredu cyn cyfnewid TLS, ac nid yw’n allwedd breifat y cymar nac yn allwedd sy’n amgryptio data’r cymhwysiad.

Os yw’r gyfrinach a rennir honno’n gyhoeddus, mae’r rhwystr a roddodd wedi mynd i bawb sydd ganddo. Nid yw’n dilyn bod pob deiliad yn pasio’r gwiriadau tystysgrif a defnyddiwr y tu ôl iddo, a dyna pam mae’r dosbarthiad yn bwysicach na lefel y larwm. Dywedwch pa rwystr a syrthiodd, a dywedwch pa rai sy’n aros.

Atgyweiriwch y rôl a ollyngwyd, nid un gyfagos

Ni ellir gwneud cyfrinach a rennir yn breifat eto drwy ailenwi’r ffeil neu guddio’r ddolen lawrlwytho. Mae disodli’n golygu cynhyrchu gwerth newydd a’i ddosbarthu i bob cymar mewn newid cydlynol, ac mae disodli un ochr yn unig yn torri’r trefniant i bawb sy’n dal yr hen werth.

Os cafodd hunaniaeth cymar ei datgelu, defnyddiwch broses ddirymu ac ail-gofrestru’r gweithredwr ar gyfer y hunaniaeth honno. Nid yw newid cyfrinair cyfrif anghysylltiedig yn annilysu tystysgrif a gopïwyd, ac nid yw chwalu’r ffeil tls-auth ychwaith.

Cadarnhewch beth mae’r gweinydd a ddefnyddiwyd mewn gwirionedd yn ei orfodi cyn dibynnu ar unrhyw un o’r rhain. Mae rhestr ddirymu nad yw’n cael ei hadnewyddu, neu wiriad rôl a analluogwyd yn ystod toriad, yn newid yr ateb yn llwyr. Darllenwch y ffurfweddiad sy’n rhedeg yn hytrach na chopi’r storfa.

Barnwch draffig y gorffennol ar ei delerau ei hun

Nid yw ffeil a ddatgelwyd ynddi’i hun yn dweud wrthych a ellir dadgryptio sesiynau a gafwyd yn gynharach. Mae hynny’n dibynnu ar y dull sefydlu allwedd, y deunydd a ddatgelwyd a pha gofnodion sy’n bodoli, ac mae ‘collwyd yr holl draffig’ a ‘ni ddigwyddodd dim’ ill dau yn ddyfalu heb y ffeithiau hynny.

Peidiwch â phostio copi arall o’r cymhwyster tra’n gofyn i ba gategori y mae’n perthyn. Rhannwch enwau cyfarwyddebau a metadata nad yw’n gyfrinachol drwy’r llwybr cymorth cymeradwy yn lle hynny.

Mae’r casgliad defnyddiol yn enwi’r gwrthrych, ei rôl, yr amddiffyniad a gollwyd a’r weithred gydlynol sy’n ofynnol. Mae unrhyw beth byrrach yn bennawd yn hytrach nag yn asesiad.