Zer egiaztatzen du openssl dhparam -check-ek eta zer uzten du kanpoan

dhparam -check gainditzeak zure VPNaren Diffie-Hellman ezarpenari buruzko epai bat ematen du. Ez da hori. Komandoak parametro fitxategi bat bere ustez betetzen duen aritmetikarekin alderatzen du, eta ez du ezer esaten taldearen tamaina zure politikarekin bat datorren edo tunelak fitxategi hori kargatzen duen ere. Segurtasun berrikuspen gisa irakurtzea da lehenengo zuzendu beharreko hipotesia.

Parametro fitxategi batek zenbaki lehen bat eta sorgailu bat ditu. Baliozkotasuna zenbaki horien propietatea da, eta indarra zure mehatxu-ereduari eta zure kideei buruzko judizioa da, eta biak ez dira trukagarriak.

Zer egiaztatzen duen benetan baliozkotasun-egiaztapenak

Exekutatu egiaztapena duzun fitxategian eta irakurri erantzuna. openssl dhparam -in dh.pem -check -noout komandoak parametroen egiaztapenak egiten ditu eta irteera kodetua isiltzen du. Parametroak ondo daudela dioen mezuak balioak egituraz koherenteak direla esan nahi du; ez du esan nahi talde labur bat zure ingurunean onargarria denik.

-dsaparam gabe sortzeak zenbaki lehen seguruak ematen ditu, non (p-1)/2 ere lehena den, eta horregatik irauten du hain luze. DSA estiloko bideak parametroak azkarrago eraikitzen ditu eta DH formara bihurtzen ditu, eta OpenSSL eskuliburuak gako berrien baldintza gehigarriak lotzen dizkie haien erabilerari. Bi eraikuntzetatik bat ere ez da saio-sekretu bat: fitxategia konfigurazio material publikoa da, ez ziurtagiriaren gako pribatua eta ez kontrol kanalaren sekretu partekatua.

Irakurri tamaina eta sorgailua fitxategia epaitu aurretik

Baliozkotasun emaitzak gehiago esan nahi du baliozkotu dena dakizunean. Inprimatu parametroak openssl dhparam -in dh.pem -text -noout erabiliz, eta gero idatzi lehenaren luzera eta sorgailuaren balioa.

Alderatu luzera hori idatzitako politika batekin, ez ohiturarekin. Zure baldintza TLS pila moderno baten onartutako talde izendatua bada, eskuz sortutako fitxategia erabat okerreko artefaktua izan daiteke. Idatzi bi zenbakiak aldaketa-erregistroan, hurrengo berrikusleak berriro ondorioztatu behar ez ditzan.

Ez bihurtu ikuskapena birsorkuntza

Hemen hutsegite modua egiaztapen itxura duen eta sorgailu gisa jokatzen duen komando bat da. Bit luzera gehitzeak, openssl dhparam -check 2048 adibidez, parametro berriak eskatzen ditu eta sarrera fitxategia ezikusi egiten da. Sorgailu aukera batek gauza bera egin dezake. Ikuskatu besterik nahi bazenuen, eman -in eta -check eta tamaina deskribatzen duen ezer ez.

Irteera jatorrizko bidearen gainean idazteak susmo bera merezi du, eskuliburuak ohartarazten baitu fitxategi-irteera ez dela atomikoa. Idazketaren erdian gertatutako kraskak parametro fitxategi moztua eta abiatuko ez den zerbitzu bat uzten ditu.

Egokitu taldea protokoloari, ez joera bati

Tamainaren politika tresnak zuretzat irakurri ezin duen erabakia da. 2048 biteko eremu finituaren talde bat ohiko gutxienekoa da eta talde handiagoek eskuko keinuaren denbora kostatzen dute, beraz aukeratu zure oinarri-lerroak aipatzen duen zifra eta idatzi. Oso erabilia den taldeak ez dira ahulak publikoak direlako; iluntasunak ez du ezer gehitzen hemen.

Pilak onartutako talde izendatuak onartzen dituenean, jarraitu dokumentatutako antolamendu hori, eta ez sortu parametro ezohikoak bakarrak diruditen. Talde izendatu bat kideak ezagutu eta berrikusleak bilatu dezakeen zerbait da, inork sailkatu ezin duen fitxategi neurri batek baino gehiago balio duena.

Egiaztatu VPNak fitxategia kargatzen duen behintzat

Prozesu batek ere irakurtzen ez duen parametro fitxategi zuzen batek ez du ezer aldatzen. OpenVPN barruan zerbitzariaren direktiba dh da bide batekin, eta ECDH edo TLS 1.3 gako-trukean oinarritzen diren hedapenek dh none ezar dezakete horren ordez. Egiaztatu exekuzioan dagoen konfigurazioa eta ez txantiloi bat, eta gero egiaztatu bezeroek eta kideek eraikuntza bera negoziatzen dutela.

Itxi zirkulua benetan behar dituzun frogak erabiliz: tunelak negoziatu zuen taldea, fitxategiko parametroen luzera eta luzera horrek betetzen duen politikaren lerroa. Gainditutako egiaztapen bat zerrenda horretako elementu bakarra da. Hori erantzun oso gisa hartzea da talde labur bat harrapatu behar zuen auditoria batetik bizirik ateratzeko modua.