Is dy publisearre OpenVPN-kaai in CA, in peerkaai of tls-auth?

Immen meldt dat de VPN-kaai iepenbier is, en dy sin ferberget trije folslein ferskillende situaasjes. It kin in CA-sertifikaat wêze dat elke klient hearre moat te hawwen, in privee identiteitskaai dy't nea ien masine ferlitten hawwe moatten hie, of in dielde behearkanaal-geheim dat beide kanten hâlde moatte. De reparaasje, de urginsje en de omfang fan ’e skea ferskille yn elk gefal, dat de earste taak is klassifikaasje ynstee fan aksje. Krijst de kategorye ferkeard, dan is elke folgjende stap fergriemde muoite.

Begjin by de rjochtline, net by de bestânsnamme

Lês de aktive konfiguraasje en fyn hokker rjochtline nei it materiaal wiist. De TLS-opsjes fan OpenVPN brûke ca foar fertroud sertifikaatmateriaal, cert foar it sertifikaat fan ’e lokale peer en key foar de priveekaai dy't dêrby heart.

Bestânsnammen bewiize neat. In bestân mei de namme key.pem kin in sertifikaat befetsje, en in ynboude blok yn it profyl kin itselde objekt befetsje as in apart bestân op ’e skiif. Iepenje it bestân en sjoch nei de kop ynstee fan de namme te fertrouwen. Dy iene kontrôle hellet it measte fan ’e ûndúdlikheid yn it rapport fuort.

As it profyl in PKCS#12-bondel is, pak it dan út op in kontrolearre plak om te sjen wat it eins befettet. Ien bondel kin in sertifikaat, syn keatling en in priveekaai drage, wat betsjut dat in lek fan ’e bondel in lek fan alle trije is.

Skriuw de klassifikaasje op foardat immen in bestân feroaret: objekt, rjochtline, hokker peers it hâlde en wa't it lêze kin. Fan dy sin hinget de rest fan ’e reaksje ôf.

In CA-sertifikaat is ûntwurpen om dield te wurden

In iepenbier CA-sertifikaat is fertrouwensmateriaal. Kliïnten hawwe it nedich om de tsjinner te ferifiearjen, en it fersprieden is it normale gefal en net in ynsidint. It publisearjen publisearret net de privee ûndertekeningskaai fan ’e CA, en krekt dat objekt soe in oanfaller nije identiteiten meitsje litte.

Dat ûnderskied is it wurdich om eksplisyt yn ’e ticket te setten, want de twa wurde hieltyd trochinoar helle. De fraach dy't beantwurde wurde moat is oft it lekte bestân it sertifikaat is of de ûndertekeningskaai, en in flugge blik op ’e ynhâld fan it bestân beslist dat. In sertifikaat draacht in iepenbiere kaai en in hantekening; de ûndertekeningskaai komt der hielendal net yn foar.

Fersprieding fertsjinnet noch soarch. Kliïnten hearre it sertifikaat fia it goedkarde profylôfleveringspaad te krijen, net fan in plaksite, en in sertifikaat dat fia in net-betrouber paad komt kin ûnderweis ferfongen wurde.

In peerkaai en in tls-auth-geheim binne net

De priveekaai fan in peer is identiteitsmateriaal. Sadree't er kopiearre is, kin de tsjinner it bedoelde apparaat net mear ûnderskiede fan elkenien dy't de kopy hat, want eksklusyf besit wie it eigenskip dat bewiisd waard. Trochgean mei autorisaasje en ferfanging binne besluten foar de VPN-eigner, net foar wa't it bestân fûn hat.

In tls-auth-geheim is in tredde ding. It foeget HMAC-autentikaasje ta om behearkanaalpakketten, sadat ferkeard autentisearre pakketten fuortgoaid wurde foar in TLS-útwikseling, en it is net de priveekaai fan ’e peer en ek net de kaai dy't applikaasjegegevens fersiferet.

As dat dielde geheim iepenbier is, is de barriêre dy't it joech fuort foar elkenien dy't it hat. Dêrút folget net dat elke hâlder de sertifikaat- en brûkerskontrôles dêrefter trochstiet, en dêrom is de klassifikaasje wichtiger as it alarmsnivo. Sis hokker barriêre foel, en sis hokker oerbliuwe.

Reparearje de rol dy't lekte, net in buorrol

In dield geheim kin net wer privee makke wurde troch it bestân te werneamen of de downloadkeppeling te ferbergjen. Ferfanging betsjut in nije wearde generearje en dy yn in koördinearre feroaring oan elke peer ferspriede, en allinnich ien kant ferfange brekt de regeling foar elkenien dy't noch de âlde wearde hat.

As in peeridentiteit bleatlein is, brûk dan it yntrekkings- en werregistraasjeproses fan ’e operator foar dy identiteit. It feroarjen fan in net-relatearre akkountwachtwurd makket in kopiearre sertifikaat net ûnjildich, en it ferfangen fan it tls-auth-bestân ek net.

Befêstigje wat de ynsette tsjinner eins hanthavent foardat jo op ien fan dizze fertrouwe. In yntrekkingslist dy't net ferfarske wurdt, of in rolkontrôle dy't by in steuring útskeakele waard, feroaret it antwurd folslein. Lês de rinnende konfiguraasje, net de kopy yn it depot.

Beoardielje eardere ferkear op syn eigen betingsten

In bleatlein bestân seit op himsels net oft earder ôflústerke sesjes ûntsifere wurde kinne. Dat hinget ôf fan ’e kaaiopsetsjenmetoade, it bleatleine materiaal en hokker records besteane, en sawol ‘alle ferkear is ferlern’ as ‘der is neat bard’ binne gissingen sûnder dy feiten.

Set gjin oare kopy fan ’e oanmeldgegevens online wylst jo freegje by hokker kategory it heart. Diel ynstee rjochtlinenammen en net-geheime metadata fia it goedkarde stipepaad.

De nuttige konklúzje neamt it objekt, syn rol, de beskerming dy't ferlern gie en de nedige koördinearre aksje. Alles koarter is in kop en net in beoardieling.