OpenVPN paketearen HMAC autentifikazioak huts egin du: zein geruza?

Bi hutsegite hiztegi berarekin jakinarazten dira eta ia ez dute ezer komunik. Bata autentifikazio-etiketa egiaztatu ez zen paketea da; bestea kredentzialak ukatzen zitzaizkion pertsona da. Lehena bigarrentzat hartzeak inoiz arazoa izan ez zen pasahitz baten bila bidaltzen zaitu.

Mezuak geruza bat izendatzen du, eta lan erabilgarria materialik ordeztu aurretik zein geruza den erabakitzea da. Hautagaiak elkarren ondoan alderatzea da aldea ikusteko modurik azkarrena.

Hitz bat partekatzen duten bi hutsegite

Pakete-autentifikazio errore bat trafikoa prozesatzean sortzen da: jasotako pakete baten etiketa edo laburpena ez zetorren bat hartzaileak kalkulatutakoarekin. Kontu baten ukapena saio-hasierako trukea aztertu ondoren gertatzen da, eta erabiltzaile bat izendatzen du, ez pakete bat. Hirugarren mezu bat, sarrerako pakete batean HMAC bat aurkitu ez izanari buruz, beste bat da berriro, han paketea espero zen autentifikazio-elementurik gabe heldu baitzen. Log aurrizki osoak esaten dizu hiruretatik zein duzun, eta aurrizkia izaten da tiket batean errore bat itsastean lehenengo kentzen dena.

Aldeak konponketa aldatzen du. Batek kanal-ezarpenak bat etortzea eskatzen du, besteak kontuaren egoera, eta hirugarrenak iritsi zen entzulearekin bat ez datorren profila.

Konparatu martxan dagoen prozesuak benetan zer kargatu zuen

Diskoan fitxategi zuzen batek ez du ezer frogatzen editatu aurretik hasi zen prozesu bati buruz. Egiazta ezazu hautatutako profila, kontaktatu zuen amaiera-puntua, eta zerbitzua aldaketaz geroztik birkargatu den. Egiaztatu ere amaiera-puntua profilarena dela, beste instantzia edo beste zerbitzu batek entzun baitezake fitxategi zaharrak beste zerbait espero duen tokian.

Profil onartu bat iturburu beretik berriz esportatzea konparazio merkea da, ezabatzen baitu zuzen dagoelakoan dagoenaren eta bezeroak benetan bidaltzen duenaren arteko desbideratzea. Gako-material berria sortzea askoz urrats handiagoa da, eta bi muturrek elkarrekin hartzen badute bakarrik laguntzen du. Alde bat lokalki ordezteak kendu nahi zenuen desadostasuna birsortzen du.

Konparatu kontrol-kanala datu-kanalarekin

Bi mekanismok konexio baten zati desberdinak autentifikatzen dituzte eta bereiz konfiguratzen dira, honela 2.6 aukeren erreferentzia deskribatzen duenez. tls-auth HMAC bat gehitzen die kontrol-kanaleko paketeei eta bi pareek kontrakoa izan behar duten norabide-argumentu bat hartzen du, bitartean tls-crypt kontrol-kanala gako partekatu batekin babesten du horren ordez. Biak ez dira datu-kanalaren beraren osotasun-egiaztapena. AEAD datu-zifratze batekin egiaztapen hori zifratzean bertan dago, beraz bereizitako auth laburpena ez da AEAD ez den zifratze batekin erabiltzen den moduan erabiltzen.

Horrek esan nahi du auth lerro bat, AEAD ez den hedapen batean funtzionatzen duenetik kopiatua, garrantzirik gabea izan daitekeela AEAD batean, eta AEAD hedapen batek oraindik huts egin dezakeela kontrol-kanalean, baldin eta tls-auth gakoa edo haren norabidea okerra bada. Konparatu ezarpen bakoitza parearekin, ez gogoratutako konfigurazioarekin.

Konparatu konponketa uzten duzun propietatearekin

Pakete-autentifikazioa desgaitzeak isiltzen du abisua eta desadostasuna aurkitu zuen egiaztapena kentzen du, eta hori ez da profila konpontzearen berdin. Galdetu zein propietate uzten duzun eta diseinuak hura gabe eusten duen.

Irakurri lehen gertaera garrantzitsua bi muturretan ezer aldatu aurretik, eta gero aldatu izendatzen duen desadostasuna soilik.

Hurrengo saiakerak ziurtagiri edo saio-hasierako errore batera aurrera egiten badu, hori aurrerapena da, ez atzerapena: pakete-geruza orain ados dago eta konexioa aurrera joan da. Idatz ezazu aldaketa eragin zuten ezarpenak, hurrengo pertsonak misterio bat beharrean azalpen bat hereda dezan.