Gako estatiko fitxategi bateko bit kopurua ez da OpenVPN zifratzearen indarra

Eskaner batek edo lankide batek OpenVPN gako estatiko fitxategi baten barruan inprimatutako bit kopurua seinalatzen du eta galdetzen du zergatik ez duen tunelek tamaina horretako zifratzerik erabiltzen. Galdera zentzuzkoa dirudi, eta erantzuna ez da zenbaki bat: goiburuak gordetako gako materiala zenbatzen du, eta zifratzeak bere gako tamainak eskatzen duen zatia baino ez du kontsumitzen. Guztizko hori indarraren ezarpen gisa hartzeak ezer aldatzen ez duten aldaketak dakartza. Formatua edozein algoritmo bakarrek erabiltzen duena baino material gehiago edukitzeko eraiki zen.

Hemen bi galdera nahasten dira: fitxategiak zenbat gako material gordetzen duen eta adostutako zifratzea zein sendoa den. Bigarrenak soilik deskribatzen du tunela.

Zer zenbatzen du benetan goiburuko zenbakiak

Edukiontziak zifratze materiala eta HMAC materiala egitura bereizi gisa serializatzen ditu, eta norabide biko formak bi multzo horietakoak gordetzen ditu, norabide bakoitzak bere gakoak eraman ahal izan ditzan. Idazteko kodeak inprimatutako kopurua serializatutako egituren kopurutik, haien tamainatik eta byteko zortzi bitetatik eratortzen du. Biltegiratzearen gaineko aritmetika da, ez zifratze batek gordetako byte guztiak kontsumitzen dituenik dioen baieztapena. Goiburuak zifratze materialaren gehienezko esleipena ere finkatzen du, liburutegiko aldaketak formatuaren neurriak isilpean alda ez ditzan.

Konparatu hori ziurtagiri gako batekin, non bit kopuruak objektu baten tamaina bai deskribatzen duen. 4,096 biteko RSA gako bat eta goiburuak 4,096 bit irakurtzen dituen gako fitxategi bat artefaktu desberdinak dira, lan desberdinekin, eta bi ezarpen kontrol berean bezala lerrokatzeak ondorio txarrak dakartza.

Bi gako multzo fitxategi bakarrean

Fitxategiaren erdi bakoitzak zifratze eta autentifikazio materiala ematen du, aldez aurretik partekatutako gakoaren moduak paketeak bi norabideetan babesten baititu pieza bereizi horiekin. Zifratze aktiboak bere gako tamainak eskatzen dituen byteak baino ez ditu erabiltzen, eta digestak bere irteera tamaina erabiltzen du, horregatik erabilgarri den indarra aukeretatik dator, ez fitxategiaren luzeratik. Bloke hexadezimala luzatzeak ez dio konfiguratutako algoritmoari gehiago kontsumitzeko eskatzen. Komentarioa zenbaki handiago batekin editatzeak are gutxiago aldatzen du.

Benetan gako luzeagoa nahi baduzu, aldatu beharreko ezarpena zifratzea edo digest-a da, eta sorgailuak hautatutako algoritmoek behar dutena sortzen du.

Profila irakurtzeak zein modu duzun esaten dizu

Fitxategi formatu berak lan oso desberdin bi ditu, eta profilek soilik esaten du zein duzun. secret lerro zahar batek fitxategia tuneleko gako material bakarra bihurtzen du, eta tls-auth edo tls-crypt ziurtagiriekin batera kontrol kanalaren babesa bihurtzen du. Bi erabileretatik batek ere ez du bezero baten ziurtagiri gako pribatu bihurtzen, blokea oso antzekoa izan arren. Identifikatu aukera eta bertsioa ordezko bat sortu aurretik, eta erabili dokumentatutako sorgailua karaktereak eransten ibili beharrean.

Bereizketa horrek esposizio bati ematen zaion erantzuna ere erabakitzen du. Iristen den tls-auth gako batek ez ditu saio gakoak agerian uzten, baina erasotzaileari kontrol kanalaren trafikoa sartzeko aukera ematen dio, beraz hala ere ordezkatu behar da. Iritsi den secret gakoa okerragoa da, datuak beraiek babesten zituen materiala zelako.

Zer erregistratu behar du segurtasun berrikuspen batek

Erregistratu hiru gauza bereizita: adostutako datu kanalaren babesa, kontrol kanalaren babesa eta nola autentifikatzen diren kideak. data-ciphers AES-256-GCM gisako lerro batek lehena soilik deskribatzen du, eta hor gelditzen den txostenak ezin du erantzun kontrol kanala batere babestuta dagoen. Gako estatiko fitxategia bigarren kategorian dago tls-auth edo tls-crypt-rekin erabiltzen denean, eta ez batean ere ez denean erabiltzen. Kategoriak nahasten dituzten berrikusleek gako fitxategi handiagoa eskatzen dute nahi dutena zifratze sendoagoa denean.

Fitxategia agerian geratu bada, biratu eta birbanatu ezazu onartutako kanaletik. Konprometitutako sekretu bati karaktereak gehitzea ez da biraketa, eta agerian geratutako materiala baliodun uzten du.

Gorde biraketaren erregistroa dagokion profilean. Hurrengo berrikuspenak galdetuko du zein gakok zein aldi babestu zuen, eta goiburuak ez du hori erantzungo.