Είναι αυτό το δημοσιευμένο κλειδί OpenVPN CA, κλειδί ομότιμου ή tls-auth;

Κάποιος αναφέρει ότι το κλειδί VPN είναι δημόσιο, και αυτή η πρόταση κρύβει τρεις εντελώς διαφορετικές καταστάσεις. Μπορεί να είναι ένα πιστοποιητικό CA που υποτίθεται ότι έχει κάθε πελάτης, ένα ιδιωτικό κλειδί ταυτότητας που δεν θα έπρεπε ποτέ να έχει φύγει από ένα μηχάνημα, ή ένα κοινόχρηστο μυστικό του καναλιού ελέγχου που πρέπει να κρατούν και τα δύο άκρα. Η αποκατάσταση, το επείγον και το εύρος της ζημιάς διαφέρουν σε κάθε περίπτωση, οπότε το πρώτο έργο είναι η ταξινόμηση και όχι η δράση. Αν κάνετε λάθος στην κατηγορία, κάθε επόμενο βήμα είναι χαμένος κόπος.

Ξεκινήστε από την οδηγία, όχι από το όνομα του αρχείου

Διαβάστε την ενεργή διαμόρφωση και βρείτε ποια οδηγία δείχνει στο υλικό που μας απασχολεί. Οι επιλογές TLS του OpenVPN χρησιμοποιούν το ca για αξιόπιστο υλικό πιστοποιητικού, το cert για το πιστοποιητικό του τοπικού ομότιμου και το key για το ιδιωτικό κλειδί που του ανήκει.

Τα ονόματα αρχείων δεν αποδεικνύουν τίποτα. Ένα αρχείο με όνομα key.pem μπορεί να περιέχει πιστοποιητικό, και ένα ενσωματωμένο μπλοκ στο προφίλ μπορεί να περιέχει ακριβώς το ίδιο αντικείμενο με ένα ξεχωριστό αρχείο στον δίσκο. Ανοίξτε το αρχείο και κοιτάξτε την κεφαλίδα του αντί να εμπιστεύεστε το όνομα. Αυτός ο ένας έλεγχος αφαιρεί το μεγαλύτερο μέρος της ασάφειας στην αναφορά.

Αν το προφίλ είναι πακέτο PKCS#12, αποσυμπιέστε το σε ελεγχόμενο χώρο για να δείτε τι περιέχει στην πραγματικότητα. Ένα μόνο πακέτο μπορεί να μεταφέρει πιστοποιητικό, την αλυσίδα του και ένα ιδιωτικό κλειδί, που σημαίνει ότι η διαρροή του πακέτου είναι διαρροή και των τριών.

Καταγράψτε την ταξινόμηση πριν αλλάξει κάποιος αρχείο: αντικείμενο, οδηγία, ποιοι ομότιμοι το κρατούν και ποιος μπορεί να το διαβάσει. Από αυτή την πρόταση εξαρτάται η υπόλοιπη απάντηση.

Ένα πιστοποιητικό CA είναι σχεδιασμένο για κοινή χρήση

Ένα δημόσιο πιστοποιητικό CA είναι υλικό εμπιστοσύνης. Οι πελάτες το χρειάζονται για να επαληθεύσουν τον διακομιστή, και η διανομή του είναι η κανονική περίπτωση και όχι περιστατικό. Η δημοσίευσή του δεν δημοσιεύει το ιδιωτικό κλειδί υπογραφής της CA, που είναι το αντικείμενο που θα επέτρεπε σε έναν επιτιθέμενο να δημιουργήσει νέες ταυτότητες.

Αυτή η διάκριση αξίζει να αναφερθεί ρητά στο δελτίο, γιατί τα δύο συγχέονται συνεχώς. Το ερώτημα που πρέπει να απαντηθεί είναι αν το αρχείο που διέρρευσε είναι το πιστοποιητικό ή το κλειδί υπογραφής, και μια γρήγορη ματιά στα περιεχόμενα του αρχείου το λύνει. Ένα πιστοποιητικό φέρει δημόσιο κλειδί και υπογραφή· το κλειδί υπογραφής δεν εμφανίζεται καθόλου σε αυτό.

Η διανομή εξακολουθεί να αξίζει προσοχή. Οι πελάτες θα πρέπει να αποκτούν το πιστοποιητικό μέσω της εγκεκριμένης διαδρομής παράδοσης προφίλ, όχι από ιστοτόπο επικόλλησης, και ένα πιστοποιητικό που φτάνει από μη αξιόπιστη διαδρομή μπορεί να αντικατασταθεί κατά τη μεταφορά.

Ένα κλειδί ομότιμου και ένα μυστικό tls-auth δεν είναι

Το ιδιωτικό κλειδί ενός ομότιμου είναι υλικό ταυτότητας. Μόλις αντιγραφεί, ο διακομιστής δεν μπορεί πλέον να ξεχωρίσει τη συσκευή που προοριζόταν από οποιονδήποτε κρατά το αντίγραφο, γιατί η αποκλειστική κατοχή ήταν η ιδιότητα που αποδεικνυόταν. Η συνέχιση της εξουσιοδότησης και η αντικατάσταση είναι αποφάσεις του ιδιοκτήτη του VPN, όχι όποιου βρήκε το αρχείο.

Ένα μυστικό tls-auth είναι τρίτο πράγμα. Προσθέτει έλεγχο ταυτότητας HMAC γύρω από τα πακέτα του καναλιού ελέγχου ώστε τα λανθασμένα πιστοποιημένα πακέτα να απορρίπτονται πριν από μια ανταλλαγή TLS, και δεν είναι ούτε το ιδιωτικό κλειδί του ομότιμου ούτε το κλειδί που κρυπτογραφεί τα δεδομένα της εφαρμογής.

Αν αυτό το κοινόχρηστο μυστικό είναι δημόσιο, το εμπόδιο που παρείχε έχει χαθεί για όλους όσοι το έχουν. Δεν έπεται ότι κάθε κάτοχος περνά τους ελέγχους πιστοποιητικού και χρήστη πίσω από αυτό, γι’ αυτό η ταξινόμηση μετράει περισσότερο από το επίπεδο συναγερμού. Πείτε ποιο εμπόδιο έπεσε και πείτε ποια παραμένουν.

Επισκευάστε τον ρόλο που διέρρευσε, όχι έναν γειτονικό

Ένα κοινόχρηστο μυστικό δεν μπορεί να γίνει ξανά ιδιωτικό μετονομάζοντας το αρχείο ή κρύβοντας τον σύνδεσμο λήψης. Η αντικατάσταση σημαίνει δημιουργία νέας τιμής και διανομή της σε κάθε ομότιμο με συντονισμένη αλλαγή, και η αντικατάσταση μόνο της μίας πλευράς χαλάει τη διευθέτηση για όλους όσοι κρατούν ακόμη την παλιά τιμή.

Αν εκτέθηκε η ταυτότητα ενός ομότιμου, χρησιμοποιήστε τη διαδικασία ανάκλησης και επανεγγραφής του διαχειριστή για αυτή την ταυτότητα. Η αλλαγή κωδικού πρόσβασης ενός άσχετου λογαριασμού δεν ακυρώνει ένα αντιγραμμένο πιστοποιητικό, ούτε η αλλαγή του αρχείου tls-auth.

Επιβεβαιώστε τι εφαρμόζει πραγματικά ο διακομιστής που έχει αναπτυχθεί πριν βασιστείτε σε οτιδήποτε από αυτά. Μια λίστα ανάκλησης που δεν ανανεώνεται, ή ένας έλεγχος ρόλου που απενεργοποιήθηκε κατά τη διάρκεια μιας διακοπής, αλλάζει εντελώς την απάντηση. Διαβάστε τη διαμόρφωση που εκτελείται και όχι το αντίγραφο στο αποθετήριο.

Κρίνετε την προηγούμενη κίνηση με τους δικούς της όρους

Ένα αρχείο που εκτέθηκε δεν λέει από μόνο του αν οι συνεδρίες που καταγράφηκαν προηγουμένως μπορούν να αποκρυπτογραφηθούν. Αυτό εξαρτάται από τη μέθοδο εγκατάστασης κλειδιού, το υλικό που εκτέθηκε και το ποια αρχεία καταγραφής υπάρχουν, και τόσο το «χάθηκε όλη η κίνηση» όσο και το «δεν συνέβη τίποτα» είναι εικασίες χωρίς αυτά τα δεδομένα.

Μην δημοσιεύσετε άλλο αντίγραφο των διαπιστευτηρίων όσο ρωτάτε σε ποια κατηγορία ανήκει. Μοιραστείτε αντί αυτού ονόματα οδηγιών και μη μυστικά μεταδεδομένα μέσω της εγκεκριμένης διαδρομής υποστήριξης.

Το χρήσιμο συμπέρασμα ονομάζει το αντικείμενο, τον ρόλο του, την προστασία που χάθηκε και την απαιτούμενη συντονισμένη ενέργεια. Οτιδήποτε συντομότερο είναι τίτλος και όχι αξιολόγηση.