OpenVPN gako argitaratu hori CA bat, parekide gako bat ala tls-auth da?

Norbaitek dio VPN gakoa publikoa dela, eta esaldi horrek erabat desberdinak diren hiru egoera ezkutatzen ditu. CA ziurtagiri bat izan daiteke, edozein bezerok izan beharko lukeena, inoiz makina batetik atera behar ez zuen identitate gako pribatu bat, edo bi muturrek eduki behar duten kontrol-kanaleko sekretu partekatu bat. Konponketa, larritasuna eta kaltearen hedadura desberdinak dira kasu bakoitzean, beraz, lehen zeregina sailkapena da, ez ekintza. Kategoria okerrean jartzen baduzu, ondorengo urrats bakoitza alferrikako ahalegina izango da.

Hasi direktibatik, ez fitxategiaren izenetik

Irakurri konfigurazio aktiboa eta aurkitu zein direktibak seinalatzen dion gai den materialari. OpenVPNren TLS aukerak ca erabiltzen du konfiantzazko ziurtagiri materialerako, cert tokiko parekidearen ziurtagirirako eta key hari dagokion gako pribaturako.

Fitxategi izenek ez dute ezer frogatzen. key.pem izeneko fitxategi batek ziurtagiri bat eduki dezake, eta profilean txertatutako bloke batek diskoan dagoen fitxategi bereizi batek duen objektu bera eduki dezake. Ireki fitxategia eta begiratu haren goiburua, izenean fidatu beharrean. Egiaztapen bakar horrek txostenean dagoen anbiguotasun gehiena kentzen du.

Profila PKCS#12 paketea bada, deskonprimatu toki kontrolatu batean, benetan zer duen ikusteko. Pakete bakar batek ziurtagiri bat, haren katea eta gako pribatu bat eraman ditzake, eta horrek esan nahi du paketearen ihesa hiruena dela.

Idatzi sailkapena inork fitxategirik aldatu aurretik: objektua, direktiba, zein parekidek duen eta nork irakur dezakeen. Esaldi horretaz dago erantzunaren gainerakoa.

CA ziurtagiria partekatzeko diseinatuta dago

CA ziurtagiri publikoa konfiantza materiala da. Bezerook zerbitzaria egiaztatzeko behar dute, eta hura banatzea ohiko kasua da, ez gertakari bat. Hura argitaratzeak ez du CAren sinatze gako pribatua argitaratzen, eta objektu horixe da erasotzaile batek identitate berriak sortzeko aukera emango liokeena.

Bereizketa hori txartelean berariaz aipatzea merezi du, biak etengabe nahasten baitira. Erantzun beharreko galdera da ihes egin duen fitxategia ziurtagiria den edo sinatze gakoa den, eta fitxategiaren edukiari begirada azkar batek erabakitzen du. Ziurtagiriak gako publiko bat eta sinadura bat ditu; sinatze gakoa ez da agertzen bertan batere.

Banaketak arreta merezi du oraindik. Bezerook baimendutako profiletza banaketa bidearen bidez lortu beharko lukete ziurtagiria, ez itsasteko gune batetik, eta bide fidagarritik ez datorren ziurtagiria bidean ordezka daiteke.

Parekide gako bat eta tls-auth sekretu bat ez dira

Parekide baten gako pribatua identitate materiala da. Behin kopiatuta, zerbitzariak ezin du jada bereizi aurreikusitako gailua kopiak duen edonorengandik, jabetza esklusiboa frogatzen zen propietatea zelako. Baimenari eustea eta ordezkatzea VPNaren jabearen erabakiak dira, fitxategia aurkitu zuenarena ez.

tls-auth sekretua hirugarren gauza bat da. HMAC autentifikazioa gehitzen du kontrol-kanaleko paketeen inguruan, oker autentifikatutako paketeak TLS trukaketa baten aurretik baztertu daitezen, eta ez da parekidearen gako pribatua ezta aplikazioaren datuak zifratzen dituen gakoa ere.

Sekretu partekatu hori publikoa bada, eman zuen hesiak ez du balio hura duen inorentzat ere. Horrik ez da ondorioztatzen edukitzaile bakoitzak haren atzeko ziurtagiri eta erabiltzaile egiaztapenak gainditzen dituenik, eta horregatik sailkapenak garrantzi handiagoa du alarma mailak baino. Esan zein hesi erori zen, eta esan zein geratzen diren.

Konpondu ihes egin zuen rola, ez alboan dagoen bat

Sekretu partekatua ezin da berriro pribatu bihurtu fitxategia berrizendatuz edo deskarga esteka ezkutatuz. Ordezkatzeak balio berri bat sortzea eta aldaketa koordinatu batean parekide bakoitzari banatzea esan nahi du, eta alde bakarra ordezkatzeak akordioa hausten die oraindik balio zaharra duten guztiei.

Parekide baten identitatea agerian geratu bada, erabili operadorearen ezeztatze eta berriz izen-emate prozesua identitate horretarako. Erlazionatua ez den kontu baten pasahitza aldatzeak ez du kopiatutako ziurtagiria baliogabetzen, ezta tls-auth fitxategia aldatzeak ere.

Egiaztatu inplantatutako zerbitzariak benetan zer behartzen duen horietako ezeretan oinarritu aurretik. Freskatzen ez den ezeztatze zerrenda batek, edo etenaldi batean desgaitutako rol egiaztapen batek, erabat aldatzen dute erantzuna. Irakurri martxan dagoen konfigurazioa, ez biltegiko kopia.

Epaitu iraganeko trafikoa bere baldintzen arabera

Agerian geratu den fitxategi batek ez du berez esaten lehenago harrapatutako saioak deszifratu daitezkeen. Hori gakoa ezartzeko metodoaren, agerian geratu den materialaren eta zein erregistro dauden araberakoa da, eta bai «trafiko guztia galdu da» bai «ezer ez da gertatu» datu horiek gabe egindako susmoak dira.

Ez argitaratu kredentzialaren beste kopia bat zein kategoriari dagokion galdetzen ari zaren bitartean. Partekatu, horren ordez, direktiben izenak eta sekretuak ez diren metadatuak baimendutako laguntza bidearen bidez.

Ondorio erabilgarriak objektua, haren rola, galdu den babesa eta beharrezko ekintza koordinatua aipatzen ditu. Hori baino laburragoa dena izenburua da, ez ebaluazioa.