openssl dhparam -check چه چیزی را بررسی می‌کند و چه چیزی را از دست می‌دهد

عبور از dhparam -check حس یک حکم دربارهٔ پیکربندی Diffie-Hellman VPN شما را می‌دهد. این‌طور نیست. فرمان یک فایل پارامتر را با حسابی که ادعا می‌کند برآورده می‌کند مقایسه می‌کند و هیچ چیزی دربارهٔ همخوانی اندازه گروه با سیاست شما یا حتی بارگذاری آن فایل توسط تونل نمی‌گوید. خواندن آن به‌عنوان بازبینی امنیتی، فرضی است که نخست باید اصلاح شود.

فایل پارامتر شامل یک عدد اول و یک مولد است. اعتبار ویژگی آن اعداد است، در حالی که قدرت داوری دربارهٔ مدل تهدید و همتایان شماست، و این دو جانشین یکدیگر نیستند.

بررسی اعتبار در واقع چه چیزی را تأیید می‌کند

بررسی را روی فایلی که دارید اجرا کنید و پاسخ را بخوانید. فرمان openssl dhparam -in dh.pem -check -noout بررسی‌های پارامتر را انجام می‌دهد و خروجی کدگذاری‌شده را سرکوب می‌کند. پیامی که می‌گوید پارامترها درست به‌نظر می‌رسند یعنی مقادیر از نظر ساختاری سازگارند؛ نه اینکه یک گروه کوتاه در محیط شما پذیرفتنی است.

تولید بدون -dsaparam اعداد اول ایمن می‌سازد، جایی که (p-1)/2 هم اول است، و به همین دلیل این‌قدر طول می‌کشد. مسیر به‌سبک DSA پارامترها را سریع‌تر می‌سازد و آن‌ها را به شکل DH تبدیل می‌کند، و راهنمای OpenSSL الزامات کلید تازهٔ بیشتری به استفاده از آن‌ها می‌بندد. هیچ‌یک از این دو ساختار راز نشست نیست: فایل مواد پیکربندی عمومی است، نه کلید خصوصی گواهی و نه راز مشترک کانال کنترل.

پیش از داوری دربارهٔ فایل، اندازه و مولد را بخوانید

نتیجهٔ اعتبار وقتی بیشتر معنا دارد که بدانید چه چیزی اعتبارسنجی شده است. پارامترها را با openssl dhparam -in dh.pem -text -noout چاپ کنید، سپس طول عدد اول و مقدار مولد را یادداشت کنید.

آن طول را با یک سیاست نوشته‌شده مقایسه کنید، نه با عادت. اگر الزام شما یک گروه نامدار تأییدشده از پشتهٔ TLS مدرن است، فایلی که با دست تولید شده می‌تواند مصنوع کاملاً اشتباهی باشد. هر دو عدد را در سابقهٔ تغییر ثبت کنید تا بازبین بعدی مجبور نشود دوباره آن‌ها را استخراج کند.

بازرسی را به تولید دوباره تبدیل نکنید

حالت شکست اینجا فرمانی است که شبیه بررسی است و مثل مولد رفتار می‌کند. افزودن طول بیتی، مانند openssl dhparam -check 2048، پارامترهای تازه می‌خواهد و فایل ورودی نادیده گرفته می‌شود. یک گزینهٔ مولد هم می‌تواند همین کار را بکند. اگر فقط می‌خواستید بازرسی کنید، -in و -check بدهید و هیچ چیزی که اندازه‌ای را توصیف کند.

نوشتن خروجی روی مسیر اصلی همان بدبینی را سزاوار است، چون راهنما هشدار می‌دهد که خروجی فایل اتمی نیست. خرابی در میانهٔ نوشتن یک فایل پارامتر بریده و سرویسی که بالا نمی‌آید باقی می‌گذارد.

گروه را با پروتکل هماهنگ کنید، نه با یک مد

سیاست اندازه تصمیمی است که ابزار نمی‌تواند برای شما بخواند. گروه میدان متناهی 2048 بیتی کف رایجی است و گروه‌های بزرگ‌تر زمان دست‌دادن را هزینه می‌کنند، پس عددی را که خط پایهٔ خودتان نام می‌برد انتخاب و یادداشت کنید. گروه‌های پرکاربرد به این دلیل ضعیف نیستند که عمومی‌اند؛ گمنامی اینجا چیزی اضافه نمی‌کند.

جایی که پشته گروه‌های نامدار تأییدشده را پشتیبانی می‌کند، از همان چیدمان مستند پیروی کنید، نه از تولید پارامترهای غیرمعمول برای یکتا به‌نظر رسیدن. گروه نامدار چیزی است که همتا می‌تواند بشناسد و بازبین بتواند جست‌وجو کند، و این ارزشمندتر از فایلی سفارشی است که هیچ‌کس نمی‌تواند طبقه‌بندی کند.

تأیید کنید که VPN اصلاً فایل را بارگذاری می‌کند

فایل پارامتر درستی که هیچ فرایندی آن را نمی‌خواند چیزی را تغییر نمی‌دهد. در OpenVPN دستورکار سرور dh همراه با مسیر است، و استقرارهایی که به ECDH یا تبادل کلید TLS 1.3 تکیه می‌کنند می‌توانند به‌جای آن dh none بگذارند. پیکربندی در حال اجرا را بررسی کنید نه یک الگو، سپس تأیید کنید که کلاینت‌ها و همتاها همان ساختار را مذاکره می‌کنند.

حلقه را با شواهدی که واقعاً لازم دارید ببندید: گروهی که تونل بر آن توافق کرد، طول پارامترها در فایل، و خط سیاستی که آن طول را برآورده می‌کند. یک بررسی موفق در آن فهرست یک قلم است. برخورد با آن به‌عنوان کل پاسخ همان راهی است که یک گروه کوتاه از بازرسی‌ای که باید آن را می‌گرفت جان سالم به در می‌برد.