VPN bat entropiaz agortzen da? Zer erakusten du benetan entropy_avail-ek
Abioan gelditzea eta ezarritako tunel geldoa huts desberdinak dira. Irakurri fasea, kontagailuaren benetako esanahia eta ilara zorizkotasuna erruduntzat hartu aurretik.
Kernelaren zorizkotasuna agortzea azalpen erakargarria da VPN geldo baterako, eta ia beti okerra jendeak salatzen duen sintomari dagokionez. Irteera zorizkoa zain dagoen ostalari bat une jakin batean trabatzen da, normalean abioaren hasieran edo gakoak kudeatzean. azkar konektatzen eta gero motel transferitzen duen tunel batek, ordea, emariari buruz ari da. Banatu bi behaketa horiek, irakurtzen amaitu ez duzun zenbaki bat konpontzeko daemona instalatu aurretik.
Zergatik irauten du mitoak
Bi arazoak errealak dira eta urrunetik berdinak dirudite. Abio-geldialdiak oraintxe abiarazitako makina birtualean gertatzen dira benetan, eta ezarritako tunel geldoa bezain erreala da. Akatsa bigarrena lehenengoak eragiten duela suposatzea da, bi istorioetan kriptografia nonbait agertzen delako. Enkriptatze hitzak ez du inolaz ere esaten transferitutako byte bakoitzak ingurumeneko zarata byte berri bat kontsumitzen duenik.
Horrela ez dira funtzionatzen sortzaile hauek. Liburutegi kriptografiko batek hazitutako sortzaile bat gordetzen du eta handik ateratzen du irteera, bere politikaren arabera hazia berriztatuz, beraz une garestia hazia jartzea da, ez transferentzia etengabea.
Zer egiten du sortzaileak pakete bakoitzeko
OpenSSL 3-n sortzaileen default hierarkia konfigurazioaren eta egoeraren arabera hazten eta berriz hazten diren DRBG instantziekin eraikitzen da. OpenVPN 2.6-n AEAD datu-bideak bere nonce paketearen sekuentzia-zenbakitik eratortzen du, saio bakoitzeko balio inplizituarekin batera, eta CBC bide zaharragoak IV pseudozorizko bat ateratzen du pakete bakoitzeko. Bi ereduek ere ez dute sostengatzen gigabyte bat mugitzeak kernelaren zarata berriko gigabyte bat kontsumitzen duenik. Biek bai sostengatzen dute gakoen sorrera eta esku-ukituak direla hazia jartzeak duen garrantzia.
CBC kasua aipatzekoa da mitoaren antza duelako eta ez delako: haren pakete bakoitzeko IV liburutegiaren sortzailetik dator, liburutegiaren berriz hazteko egutegiaren arabera, inoiz ez pakete bakoitzeko kernel dei batetik. Norbaitek byte bakoitzeko entropia-kostua aipatzen duenean, galdetu zer liburutegi bertsio eta zer kode-bide neurtu zituzten.
Non agertzen da itxarotea benetan
Jarri denbora-markak faseen inguruan, ez saioren inguruan: abioa, autentifikazioa, gako-aldaketa eta transferentzia. Tunela erabilgarri bihurtu aurretiko itxarotea tasa konstante baxuaren kexa desberdina da, eta horietako bakarra da zorizkotasunera jotzen duena. Linux-en getrandom() eskaera normal bat blokeatu daiteke kernelaren iturri zorizkoa hasieratu arte, eta horregatik arazo honen abio-bertsioa erreala da hasieran igerilekua elikatzeko gutxi duten makina birtualetan eta txertatutako plaketan.
| Fasea | Zer exekutatu | Itxarotea esan nahi duen irakurketa | Emaria esan nahi duen irakurketa |
|---|---|---|---|
| Abioa, edozein tunel baino lehen | systemd-analyze critical-chain | tunela hasi aurretik segundoak ematen dituen unitate bat | ez da aplikagarria, oraindik ez da ezer transferitzen |
| Esku-ukitua | journalctl -u openvpn-server@server -b | hutsune luzea hasieratze-sekuentzia osatu aurretik | ez da aplikagarria, tunela ez dago altxatuta |
| Ezarritako transferentzia | ss -tin ondoan sar -n DEV 1 | blokeatutako prozesua socket-ilara hutsekin | ilara beteak, berbidalketak eta hari bat lanpetuta |
Bi agindu merke bilduma horren hasieran daude, eta galdera errazak ebazten dituzte taula beharrezkoa izan baino lehen. Irakurtzen duten kontagailua entropia-kontabilitatea da, ez banda-zabaleraren neurgailua, eta kaptura bakar batek ezin du erakutsi prozesu bat blokeatuta dagoenik, zenbat itxaron duen edo bere liburutegiko funtzioek zein interfaze deitzen duten. Berreskuratzearen ondoren hartutako laginak trabamendua erabat galdu ohi du, beraz eutsi kernelaren bertsioari irakurketaren ondoan.
cat /proc/sys/kernel/random/entropy_avail
uname -rEgokitu zuzenketa irakurketari
Kernelak benetan hasieratzearen zain badago, begiratu plataformak onartzen duen hazte-bidea, ez tunela. Makina birtual bati ostalariak emandako gailu zorizkoa eman dakioke, adibidez virtio-rng, eta irudiaren prestaketak garrantzia du, askotariko gonbidatuetara aldatu gabe kopiatutako hazia ez delako hasieratze independentea. Liburutegi batek abioaren ondoren hazte-hutsegiteak salatzen baditu, aztertu konfiguratutako iturria eta hornitzailearen portaera, kernelaren ezarpenak aldatu ordez.
ss -tin dst 203.0.113.7
sar -n DEV 1 5OpenSSL sortzailearen dokumentazioak hierarkia horrek nola lortzen duen sarrera eta noiz gertatzen den berriz haztea deskribatzen du, mitoak baino askoz baieztapen estuagoa eta inplementazio horretarako soilik balio duena. Entropia-daemon bat ez da abiadura-konponketa unibertsala, eta kontagailu bat igotzeko hura instalatzeak segurtasun-suposizio bat aldatzen du atzerapenik erakutsi gabe. Emariari dagokionez, jarraitu datu-bidea: hari saturatu bat, berbidalketak, kanpoko galera eta ilara-jaurtiketak bakoitzak konponketa desberdina behar du, eta buffer-tamainek socket-en bufferizazioa lantzen dute beren ilara-ebidentziarekin.