Methu dilysu HMAC pecyn OpenVPN: pa haen?

Adroddir dwy fethiant â’r un geirfa ac nid oes ganddynt fawr ddim yn gyffredin. Un yw pecyn na ddilyswyd ei dag dilysu; y llall yw person y gwrthodwyd ei gymwysterau. Bydd trin y cyntaf fel yr ail yn eich anfon i chwilio am gyfrinair nad oedd byth yn broblem.

Mae’r neges yn enwi haen, a’r gwaith defnyddiol yw penderfynu pa haen cyn disodli unrhyw ddeunydd. Cymharu’r ymgeiswyr ochr yn ochr yw’r ffordd gyflymaf i weld y gwahaniaeth.

Dwy fethiant sy’n rhannu un gair

Codir gwall dilysu pecyn wrth brosesu traffig: nid oedd tag neu grynhoad ar becyn a dderbyniwyd yn cyfateb i’r hyn a gyfrifodd y derbynnydd. Mae gwrthodiad cyfrif yn digwydd ar ôl dadansoddi cyfnewid mewngofnodi, ac mae’n enwi defnyddiwr yn hytrach na phecyn. Mae trydedd neges, am fethu â chanfod HMAC mewn pecyn sy’n dod i mewn, yn wahanol eto, oherwydd yno cyrhaeddodd y pecyn heb yr elfen ddilysu a ddisgwylid o gwbl. Mae rhagddodiad llawn y cofnod yn dweud pa un o’r tri sydd gennych, a’r rhagddodiad fel arfer yw’r peth cyntaf a dynnir pan lapiwyd gwall mewn tocyn.

Mae’r gwahaniaeth yn newid yr atgyweiriad. Mae un yn galw am osodiadau sianel sy’n cyfateb, un arall am gyflwr cyfrif, a’r trydydd am broffil nad yw’n cyfateb i’r gwrandawr y cyrhaeddodd.

Cymharwch yr hyn a lwythodd y broses sy’n rhedeg mewn gwirionedd

Nid yw ffeil gywir ar y disg yn profi dim am broses a ddechreuodd cyn iddi gael ei golygu. Gwiriwch y proffil a ddewiswyd, y pen draw y cysylltodd ag ef, ac a ailosodwyd y gwasanaeth ers y newid. Cadarnhewch hefyd fod y pen draw yn perthyn i’r proffil, gan y gall enghraifft arall neu wasanaeth arall fod yn gwrando lle mae’r hen ffeil yn disgwyl rhywbeth arall.

Mae ail-allforio proffil a gefnogir o’r un ffynhonnell yn gymhariaeth rad, oherwydd mae’n dileu’r gwyriad rhwng yr hyn rydych yn meddwl sydd wedi’i ffurfweddu a’r hyn mae’r cleient yn ei anfon mewn gwirionedd. Mae cynhyrchu deunydd allweddol newydd yn gam llawer mwy, ac mae’n helpu dim ond os yw’r ddau ben yn ei fabwysiadu gyda’i gilydd. Mae disodli un ochr yn lleol yn ail-greu’r anghyfatebiaeth roeddech yn ceisio ei dileu.

Cymharwch y sianel reoli â’r sianel ddata

Mae dau fecanwaith yn dilysu rhannau gwahanol o gysylltiad ac yn cael eu ffurfweddu ar wahân, fel y mae cyfeirlyfr opsiynau 2.6 yn ei ddisgrifio. tls-auth yn ychwanegu HMAC at becynnau’r sianel reoli ac yn cymryd dadl cyfeiriad sy’n rhaid bod yn groes ar y ddau gyfoed, tra tls-crypt bod y sianel reoli yn cael ei diogelu â allwedd a rennir yn lle hynny. Nid yw’r naill na’r llall yn wirio uniondeb y sianel ddata ei hun. Gyda seiffr ddata AEAD mae’r wirio honno wedi’i hymgorffori yn y seiffr, felly nid yw’r auth crynhoad ar wahân yn cael ei ddefnyddio fel y mae gyda seiffr nad yw’n AEAD.

Sy’n golygu bod llinell auth a gopïwyd o ddefnydd nad yw’n AEAD ac sy’n gweithio yn gallu bod yn amherthnasol mewn un AEAD, ac mae defnydd AEAD yn dal i allu methu ar y sianel reoli os yw’r tls-auth allwedd neu ei chyfeiriad yn anghywir. Cymharwch bob gosodiad â’r cyfoed yn hytrach nag â ffurfwedd a gofiwyd.

Cymharwch yr atgyweiriad â’r briodwedd rydych yn ei rhoi i fyny

Mae analluogi dilysu pecynnau yn distewi’r rhybudd ac yn dileu’r gwiriad a ddaeth o hyd i’r anghyfatebiaeth, nad yw’r un peth ag atgyweirio’r proffil. Gofynnwch pa briodwedd rydych yn ei hildo a yw’r dyluniad yn dal hebddi.

Darllenwch y digwyddiad perthnasol cyntaf ar y ddau ben cyn newid unrhyw beth, yna newidiwch yn unig yr anghyfatebiaeth y mae’n ei henwi.

Os yw’r ymgais nesaf yn symud ymlaen i wall tystysgrif neu fewngofnodi, cynnydd yw hynny yn hytrach na dirywiad: mae haen y pecynnau bellach yn cytuno ac mae’r cysylltiad wedi symud ymlaen. Cofnodwch y gosodiadau a achosodd y newid, fel bod y person nesaf yn etifeddu esboniad yn hytrach na dirgelwch.