Αποτυχία ελέγχου ταυτότητας HMAC πακέτου OpenVPN: ποιο επίπεδο;

Δύο αποτυχίες αναφέρονται με το ίδιο λεξιλόγιο και δεν έχουν σχεδόν τίποτα κοινό. Η μία είναι ένα πακέτο του οποίου η ετικέτα ελέγχου ταυτότητας δεν επαληθεύτηκε· η άλλη είναι ένα άτομο του οποίου τα διαπιστευτήρια απορρίφθηκαν. Αν αντιμετωπίσετε την πρώτη ως τη δεύτερη, θα ψάξετε έναν κωδικό πρόσβασης που ποτέ δεν ήταν το πρόβλημα.

Το μήνυμα ονομάζει ένα επίπεδο, και η χρήσιμη δουλειά είναι να αποφασίσετε ποιο πριν αντικαταστήσετε οποιοδήποτε υλικό. Η σύγκριση των υποψηφίων δίπλα-δίπλα είναι ο ταχύτερος τρόπος να δείτε τη διαφορά.

Δύο αποτυχίες που μοιράζονται μια λέξη

Ένα σφάλμα ελέγχου ταυτότητας πακέτου εγείρεται κατά την επεξεργασία κίνησης: μια ετικέτα ή σύνοψη σε ληφθέν πακέτο δεν συμφωνούσε με αυτό που υπολόγισε ο παραλήπτης. Μια απόρριψη λογαριασμού συμβαίνει αφού αναλυθεί μια ανταλλαγή σύνδεσης, και ονομάζει χρήστη αντί για πακέτο. Ένα τρίτο μήνυμα, για αδυναμία εντοπισμού HMAC σε εισερχόμενο πακέτο, είναι πάλι διαφορετικό, γιατί εκεί το πακέτο έφτασε εντελώς χωρίς το αναμενόμενο στοιχείο ελέγχου ταυτότητας. Το πλήρες πρόθεμα του αρχείου καταγραφής σάς λέει ποιο από τα τρία έχετε, και το πρόθεμα είναι συνήθως το πρώτο που αφαιρείται όταν ένα σφάλμα επικολλάται σε ένα δελτίο.

Η διάκριση αλλάζει την επισκευή. Η μία απαιτεί ταιριαστές ρυθμίσεις καναλιού, η άλλη κατάσταση λογαριασμού, και η τρίτη ένα προφίλ που δεν ταιριάζει με τον ακροατή που έφτασε.

Συγκρίνετε τι φόρτωσε πραγματικά η διεργασία που εκτελείται

Ένα σωστό αρχείο στον δίσκο δεν αποδεικνύει τίποτα για μια διεργασία που ξεκίνησε πριν από την επεξεργασία του. Ελέγξτε το επιλεγμένο προφίλ, το τελικό σημείο με το οποίο επικοινώνησε, και αν η υπηρεσία έχει επαναφορτωθεί από την αλλαγή. Επιβεβαιώστε επίσης ότι το τελικό σημείο ανήκει στο προφίλ, αφού άλλη παρουσία ή άλλη υπηρεσία μπορεί να ακούει εκεί όπου το παλιό αρχείο περιμένει κάτι άλλο.

Η επανεξαγωγή ενός υποστηριζόμενου προφίλ από την ίδια πηγή είναι φθηνή σύγκριση, γιατί αφαιρεί την απόκλιση ανάμεσα σε αυτό που νομίζετε ότι έχει ρυθμιστεί και σε αυτό που στέλνει πραγματικά ο πελάτης. Η παραγωγή νέου υλικού κλειδιών είναι πολύ μεγαλύτερο βήμα, και βοηθά μόνο αν το υιοθετήσουν και τα δύο άκρα μαζί. Η τοπική αντικατάσταση της μίας πλευράς αναδημιουργεί ακριβώς την αναντιστοιχία που προσπαθούσατε να αφαιρέσετε.

Συγκρίνετε το κανάλι ελέγχου με το κανάλι δεδομένων

Δύο μηχανισμοί ελέγχουν την ταυτότητα διαφορετικών μερών μιας σύνδεσης και ρυθμίζονται χωριστά, όπως η αναφορά επιλογών 2.6 περιγράφει. tls-auth προσθέτει HMAC στα πακέτα του καναλιού ελέγχου και δέχεται όρισμα κατεύθυνσης που πρέπει να είναι αντίθετο στους δύο ομοτίμους, ενώ tls-crypt προστατεύει το κανάλι ελέγχου με κοινό κλειδί αντ’ αυτού. Κανένας από τους δύο δεν είναι ο ίδιος ο έλεγχος ακεραιότητας του καναλιού δεδομένων. Με κρυπτογράφηση δεδομένων AEAD ο έλεγχος αυτός είναι ενσωματωμένος στην κρυπτογράφηση, οπότε η χωριστή auth σύνοψη δεν χρησιμοποιείται όπως με κρυπτογράφηση που δεν είναι AEAD.

Που σημαίνει ότι το auth αντιγραμμένο από λειτουργική εγκατάσταση χωρίς AEAD μπορεί να είναι άσχετο σε μια εγκατάσταση AEAD, και μια εγκατάσταση AEAD μπορεί ακόμη να αποτύχει στο κανάλι ελέγχου αν το tls-auth κλειδί ή η κατεύθυνσή του είναι λάθος. Συγκρίνετε κάθε ρύθμιση με τον ομότιμο και όχι με μια ρύθμιση που θυμάστε.

Συγκρίνετε τη διόρθωση με την ιδιότητα που εγκαταλείπετε

Η απενεργοποίηση του ελέγχου ταυτότητας πακέτων σιωπά την προειδοποίηση και αφαιρεί τον έλεγχο που βρήκε την αναντιστοιχία, κάτι που δεν είναι το ίδιο με την επισκευή του προφίλ. Ρωτήστε ποια ιδιότητα παραδίδετε και αν ο σχεδιασμός αντέχει χωρίς αυτήν.

Διαβάστε το πρώτο σχετικό συμβάν στα δύο άκρα πριν αλλάξετε οτιδήποτε, και μετά αλλάξτε μόνο την αναντιστοιχία που ονομάζει.

Αν η επόμενη προσπάθεια προχωρήσει σε σφάλμα πιστοποιητικού ή σύνδεσης, αυτό είναι πρόοδος και όχι οπισθοδρόμηση: το επίπεδο πακέτων συμφωνεί τώρα και η σύνδεση προχώρησε. Καταγράψτε τις ρυθμίσεις που προκάλεσαν την αλλαγή, ώστε ο επόμενος να κληρονομήσει μια εξήγηση αντί για ένα αίνιγμα.