OpenSSL-eko SHA1 laburpen-izenak: zer esan nahi du zerrenda zahar batek
SHA1 izen zaharrek liburutegiaren erregistroak deskribatzen dituzte, ez OpenVPN-k pakete batekin egin zuena. Bereizi erregistratutako izena, laburpena eta hura kontsumitzen duen eragiketa.
Laburpen-zerrenda zaharrak erabaki kriptografikoen transkripzio bat balira bezala irakurtzen dira, eta ez dira. SHA1, DSA-SHA1-old edo RSA-SHA1-2 bezalako izenak elkarren ondoan daude OpenSSL bertsio zaharretan, liburutegiak hash-makineria erlazionatuaren inguruan sarrera-puntu batzuk erregistratu zituelako. Zerrenda horretako RSA edo DSA etiketa batek ez du ezer esaten OpenVPN-ek pakete batekin egin zuenari buruz. Irakurtzen ari zarena liburutegiaren inbentarioa da, ez saio baten erregistroa.
Hiru gauza bereizi behar dira ondorio batek zentzurik izan dezan: erregistratutako izena, haren azpiko laburpen-kalkulua eta hura kontsumitzen duen eragiketa.
Erregistro bat interfazea da, ez indarraren balorazioa
OpenSSL 1.0.2-n laburpenen erregistro-taula batek izenak, aliasak eta inplementazioak fitxategi bakarrean lotzen ditu. DSS1 deskribatzaile zaharra da kasurik argiena: SHA-1-en irteeraren luzera jakinarazten du eta SHA-1-en amaiera errutina deitzen du, baina erabat beste algoritmo bat iradokitzen duen izena darama. Beraz, erregistro bateko letra gehigarriek ez dute hash desberdinik, irteera luzeagorik ezta segurtasun-maila berririk esan nahi.
Iturri berak alias-harremanak gordetzen ditu deitzaile zaharragoentzat, eta horrek azaltzen du zergatik dirudien zerrenda bat gainezka. Bateragarritasunaren dokumentazioa da, ez OpenSSL hornitzaile batek izen berdinak erakutsiko dituen promesa.
Sinatze-izenek ez dituzte sinadurak sortzen
Sinatze-esparru batek laburpena beste algoritmo baten interfazera lotu dezake, lehendik dauden deitzaileek konpilatzen jarraitu dezaten. Benetako gako publikoaren sinadurak gakoa eta hura erabiltzen duen sinatze-urratsa behar ditu, eta bietariko bat ere ez du menu bateko izen batek ematen. RSA usaina duen laburpen-sarrera deitzaileak erabil dezakeen izena da, ez VPN pakete bakoitzak RSA sinadura bat zeramanaren froga.
Urrats honetan erortzen dira testu zaharrak folklorearen esparrura. Paketeak nola autentifikatu ziren jakin behar baduzu, aurkitu mekanismoa hautatu zuen aukera eta irakurri zer egiten duen benetan exekutatzen duzun bertsioan. Bertsio harekin banatutako eskuliburu-orria da zure aurrean dagoen programarekin bat datorren deskribapen bakarra. Artxibatutako gidek idatzi zireneko bertsioa deskribatzen dute, eta hura izendapen-konbentzio batzuk atzerago egon daiteke.
Aurkitu izena kontsumitu zuen aukera
OpenVPN 2.6-k dokumentatzen duen pakete-autentifikazio kasuan, auth aukerak HMAC-ek erabiltzen duen laburpena hautatzen du, gakoan oinarritutako mezu-autentifikazioaren eraikuntza, ez ziurtagiri-sinadura. TLS ziurtagiriaren sinatze-algoritmoa eskuko ematearen propietate bereizia da.
AEAD datu-zifratuarekin, auth ezarpen bereiziak datu-kanalean aplikatzeari uzten dio, eta haren eginkizuna tls-auth-erako galdera bereizia da oraindik. Laburpen-zerrenda batek ezin dizu esan zein hash-k babestu zituen uneko paketeak, zein TLS multzo negoziatu zen edo nola sinatu zen parekoaren ziurtagiria. Ezarpen eraginkorrak bertsioarekin batera baino ezin du hori erantzun, eta zure aurrean dagoen konexioarentzat soilik.
Idatzi benetan daukazuna
Idatzi OpenVPN bertsioa, lotutako kripto-liburutegia, profileko aukera zehatzak eta benetako konexio baten emaitza. Multzo horrek laburpen-menu baten pantaila-argazkiak erantzun ezin dituen galderak erantzuten ditu, eta hurrengo bertsio-berritzea gainditzen du, bertsioak aipatzen baititu, inpresioak ez.
Batez ere, ez aukeratu alias zaharrarik izena indartsuagoa edo zehatzagoa entzuten duelako. Aukeratu konexio osorako onartutako politika, eta tratatu izen zaharrak liburutegi batek lehenago nola aurkezten zuen erregistro gisa.