OpenVPN-paketin HMAC-todennus epäonnistui: mikä kerros?

Kaksi vikaa raportoidaan samalla sanastolla eikä niillä ole juuri mitään yhteistä. Toinen on paketti, jonka todennustunnistetta ei vahvistettu; toinen on henkilö, jonka tunnistetiedot hylättiin. Ensimmäisen käsitteleminen toisena lähettää sinut etsimään salasanaa, joka ei koskaan ollut ongelma.

Viesti nimeää kerroksen, ja hyödyllinen työ on päättää mikä, ennen kuin korvaat mitään materiaalia. Ehdokkaiden vertaaminen rinnakkain on nopein tapa nähdä ero.

Kaksi vikaa, jotka jakavat sanan

Paketin todennusvirhe syntyy liikennettä käsiteltäessä: vastaanotetun paketin tunniste tai tiiviste ei vastannut sitä, minkä vastaanottaja oli laskenut. Tilin hylkäys tapahtuu, kun kirjautumisvaihto on jäsennetty, ja se nimeää käyttäjän eikä pakettia. Kolmas viesti, siitä ettei HMACia löydy saapuvasta paketista, on jälleen erilainen, koska siinä paketti saapui kokonaan ilman odotettua todennuselementtiä. Lokirivin täysi etuliite kertoo, mikä kolmesta sinulla on, ja etuliite on yleensä ensimmäinen asia, joka poistetaan, kun virhe liitetään tikettiin.

Ero muuttaa korjausta. Yksi vaatii kanava-asetusten täsmäämistä, toinen tilin tilaa ja kolmas profiilia, joka ei vastaa kuuntelijaa, johon se osui.

Vertaa, mitä käynnissä oleva prosessi todella latasi

Oikea tiedosto levyllä ei todista mitään prosessista, joka käynnistyi ennen sen muokkaamista. Tarkista valittu profiili, yhteydenotettu päätepiste ja se, onko palvelu ladattu uudelleen muutoksen jälkeen. Varmista myös, että päätepiste kuuluu profiilille, sillä toinen instanssi tai toinen palvelu voi kuunnella siellä, missä vanha tiedosto odottaa jotain muuta.

Tuetun profiilin uudelleenvienti samasta lähteestä on halpa vertailu, koska se poistaa ajautuman sen väliltä, mitä luulet määritetyksi, ja sen väliltä, mitä asiakas todella lähettää. Uuden avainmateriaalin luonti on paljon suurempi askel, ja se auttaa vain, jos molemmat päät ottavat sen käyttöön yhdessä. Yhden puolen korvaaminen paikallisesti luo uudelleen sen epätäsmäisyyden, jota yritit poistaa.

Vertaa ohjauskanavaa datakanavaan

Kaksi mekanismia todentaa yhteyden eri osia ja määritetään erikseen, kuten 2.6-valintaviite kuvaa. tls-auth lisää HMACin ohjauskanavan paketteihin ja ottaa suuntargumentin, jonka on oltava vastakkainen kahdella vertaisella, kun taas tls-crypt suojaa ohjauskanavan sen sijaan jaetulla avaimella. Kumpikaan ei ole datakanavan oma eheystarkistus. AEAD-datasalauksella tuo tarkistus on sisäänrakennettu salaukseen, joten erillistä auth tiivistettä ei käytetä samalla tavoin kuin ei-AEAD-salauksessa.

Mikä tarkoittaa, että auth rivi, joka on kopioitu toimivasta ei-AEAD-käyttöönotosta, voi olla merkityksetön AEAD-käyttöönotossa, ja AEAD-käyttöönotto voi silti epäonnistua ohjauskanavalla, jos tls-auth avain tai sen suunta on väärä. Vertaa jokaista asetusta vertaiseen äläkä muistettuun kokoonpanoon.

Vertaa korjausta ominaisuuteen, josta luovut

Paketin todennuksen poistaminen käytöstä vaientaa varoituksen ja poistaa tarkistuksen, joka epätäsmäisyyden löysi, mikä ei ole sama kuin profiilin korjaaminen. Kysy, mistä ominaisuudesta luovut ja kestääkö suunnittelu ilman sitä.

Lue ensimmäinen olennainen tapahtuma molemmissa päissä ennen kuin muutat mitään, ja muuta sitten vain sitä epätäsmäisyyttä, jonka se nimeää.

Jos seuraava yritys etenee varmenne- tai kirjautumisvirheeseen, se on edistystä eikä taantumaa: pakettikerros on nyt yhtä mieltä ja yhteys on edennyt. Kirjaa asetukset, jotka muutoksen aiheuttivat, jotta seuraava henkilö perii selityksen eikä arvoitusta.