Kas see avaldatud OpenVPN võti on CA, partneri võti või tls-auth?

Keegi teatab, et VPN-võti on avalik, ja see lause peidab kolme täiesti erinevat olukorda. See võib olla CA-sertifikaat, mis peaks olema igal kliendil, privaatne identiteedivõti, mis ei oleks tohtinud kunagi ühest masinast lahkuda, või jagatud juhtkanali saladus, mida mõlemad pooled peavad hoidma. Parandus, kiireloomulisus ja kahju ulatus erinevad igal juhul, seega on esimene ülesanne liigitus, mitte tegevus. Kui kategooria läheb valesti, on iga järgmine samm raisatud vaev.

Alusta direktiivist, mitte failinimest

Loe aktiivset konfiguratsiooni ja leia, milline direktiiv osutab kõnealusele materjalile. OpenVPN-i TLS-valikud kasutavad ca usaldusväärse sertifikaadimaterjali jaoks, cert kohaliku partneri sertifikaadi jaoks ja key sellele kuuluva privaatvõtme jaoks.

Failinimed ei tõesta midagi. Fail nimega key.pem võib sisaldada sertifikaati ja profiilis olev manustatud plokk võib sisaldada täpselt sama objekti nagu eraldi fail kettal. Ava fail ja vaata selle päist, selle asemel et nime usaldada. See üks kontroll eemaldab suurema osa aruande ebaselgusest.

Kui profiil on PKCS#12-pakett, pakkige see kontrollitud kohas lahti, et näha, mida see tegelikult sisaldab. Üks pakett võib kanda sertifikaati, selle ahelat ja privaatvõtit, mis tähendab, et paketi leke on kõigi kolme leke.

Kirjuta liigitus üles enne, kui keegi faili muudab: objekt, direktiiv, millistel partneritel see on ja kes saab seda lugeda. Just sellest lausest sõltub ülejäänud vastus.

CA-sertifikaat on mõeldud jagamiseks

Avalik CA-sertifikaat on usaldusmaterjal. Kliendid vajavad seda serveri kontrollimiseks ja selle levitamine on tavaline juhtum, mitte intsident. Selle avaldamine ei avalda CA privaatset allkirjastamisvõtit, mis on objekt, mis võimaldaks ründajal luua uusi identiteete.

See erinevus tasub piletis selgelt kirja panna, sest neid kahte aetakse pidevalt segi. Küsimus, millele tuleb vastata, on see, kas lekkinud fail on sertifikaat või allkirjastamisvõti, ja kiire pilk faili sisule otsustab selle. Sertifikaat kannab avalikku võtit ja allkirja; allkirjastamisvõti ei esine selles üldse.

Levitamine väärib siiski hoolt. Kliendid peaksid sertifikaadi hankima kinnitatud profiili tarnimise teed pidi, mitte kleepimissaidilt, ja ebausaldusväärset teed pidi saabunud sertifikaat võidakse teel välja vahetada.

Partneri võti ja tls-auth saladus ei ole

Partneri privaatvõti on identiteedimaterjal. Kui see on kopeeritud, ei suuda server enam eristada kavandatud seadet kõigist teistest, kellel koopia on, sest eksklusiivne valdus oli omadus, mida tõestati. Jätkuv autoriseerimine ja asendamine on VPN-i omaniku otsused, mitte selle otsused, kes faili leidis.

tls-auth saladus on kolmas asi. See lisab HMAC-autentimise juhtkanali pakettide ümber, nii et valesti autenditud paketid visatakse kõrvale enne TLS-vahetust, ja see ei ole ei partneri privaatvõti ega võti, mis krüpteerib rakenduse andmeid.

Kui see jagatud saladus on avalik, on selle pakutud tõke kadunud kõigi jaoks, kellel see on. Sellest ei järeldu, et iga valdaja läbib selle taga olevad sertifikaadi- ja kasutajakontrollid, mistõttu on liigitus tähtsam kui häirenivoo. Ütle, milline tõke langes, ja ütle, millised jäid.

Paranda roll, mis lekkis, mitte naaberroll

Jagatud saladust ei saa faili ümber nimetades ega allalaadimislingi peites uuesti privaatseks muuta. Asendamine tähendab uue väärtuse genereerimist ja selle levitamist igale partnerile koordineeritud muudatuses, ja ainult ühe poole asendamine rikub korralduse kõigi jaoks, kellel on veel vana väärtus.

Kui partneri identiteet paljastus, kasuta operaatori tühistamis- ja uuesti registreerimise protsessi selle identiteedi jaoks. Mitteseotud konto parooli muutmine ei muuda kopeeritud sertifikaati kehtetuks, ja tls-auth faili vahetamine samuti mitte.

Kinnitage, mida juurutatud server tegelikult jõustab, enne kui millelegi sellest loote. Tühistamisnimekiri, mida ei värskendata, või rollikontroll, mis katkestuse ajal välja lülitati, muudab vastust täielikult. Lugege töötavat konfiguratsiooni, mitte hoidla koopiat.

Hinnake varasemat liiklust selle enda tingimustel

Paljastatud fail iseenesest ei ütle, kas varem salvestatud sessioone saab dekrüpteerida. See sõltub võtme loomise meetodist, paljastatud materjalist ja olemasolevatest logidest, ning nii «kogu liiklus on kadunud» kui ka «midagi ei juhtunud» on ilma nende faktideta oletused.

Ärge postitage volituste veel üht koopiat, kui küsite, millisesse kategooriasse see kuulub. Jagage selle asemel direktiivide nimesid ja mitte-salajasi metaandmeid kinnitatud tugitee kaudu.

Kasulik järeldus nimetab objekti, selle rolli, kaotatud kaitse ja vajaliku koordineeritud tegevuse. Kõik lühem on pealkiri, mitte hinnang.