OpenVPN tls-crypt-v2: ról eochair an chliaint agus an bhlob fhillte
Coinníonn próifíl tls-crypt-v2 eochair rialaithe chliaint agus cóip fhillte nach féidir ach leis an bhfreastalaí a oscailt. Coinnigh gach réad agus gach céim scoir ar leith.
Is cosúil go bhfuil sé neamhdhíobhálach próifíl tls-crypt-v2 a ghreamú isteach i dticéad go dtí go gcomhairimh tú cad atá sa chomhad. Tá eochair chainéil rialaithe an chliaint in aice le cóip chriptithe den eochair chéanna sin, agus ní fhágann an tríú réad, an eochair fhillte, an freastalaí glactha riamh. Freagraíonn an triúr sin ceisteanna éagsúla faoi choimeád, faoi chomhroinnt agus faoi scor. Réitíonn a scarsanú an chuid is mó de na hargóintí polasaí sula dtosaíonn siad.
Cad atá sa phróifíl i ndáiríre
Is é leath chliaint tls-crypt-v2 eochair móide cóip fhillte di. Úsáideann an cliant an eochair lom chun an chainéal rialaithe a chosaint agus tugann sé an chóip fhillte don fhreastalaí le linn an tsocraithe, ionas go bhfaigheann an freastalaí an eochair chéanna arís gan cóip ghlan a stóráil in aghaidh an chliaint. Is í an eochair fhillte a dhéanann an t-aisghabháil sin indéanta agus ní bhaineann sí ach leis an taobh glactha. Leanann gach rud thíos ón áit a bhfuil an triúr réad sin ina gcónaí.
| Object | Where it lives | What can open it | What a leak costs |
|---|---|---|---|
| Server wrapping key | accepting servers only | the unwrap step inside the server | every wrapped copy issued to that group becomes readable |
| Wrapped client key | inside the client profile | the server wrapping key | it names a client and exposes its metadata, but not the key inside |
| Client control key | inside the client profile, usable as-is | the client that owns it | someone can open handshakes as that client until the server refuses the key |
Léigh an tábla de réir coimeádta seach de réir ainm agus titeann na hiarmhairtí amach. Is é cailliúint na heochrach fillte an ócáid chostasach, mar ní féidir le haon rud i bpróifíl í a atógáil agus is é an t-aisghabháil macánta an grúpa a athsheoladh. Tá próifíl sceite níos saoire ach i bhfad níos coitianta, ós rud é go ngreamaítear próifílí isteach i dticéid ag daoine a chreideann go ndéanann an chóip fhillte an comhad sábháilte le comhroinnt. Teastaíonn freagraí difriúla ón dá chliseadh, agus sin an fáth a gcoinnítear na réada ar leith.
Cén fáth nach é an chóip fhillte an scéal ar fad
Iompraíonn próifíl an t-ábhar cliaint inúsáidte mar aon lena macasamhail fhillte, mar sin ní deir cosaint na cóipe don fhreastalaí aon rud faoi chosaint an chomhaid. Tá an blob sábháilte le tarchur agus neamhshábháilte le foilsiú. Tá meiteashonraí istigh ann le feiceáil ag a bhfaigheann an blob, lena n-áirítear aon duine a léifidh an ticéad ar gearradh isteach ann níos déanaí.
Caith le próifíl mar dhintiúr seach mar shampla cumraíochta. Tugann comhad sceite féiniúlacht chliaint fheidhmiúil dá shealbhóir go dtí go stopann an freastalaí ag glacadh leis an bhféiniúlacht sin, agus ní dhéanann an fhilleadh aon rud faoin bhfuinneog sin. Eisigh próifíl amháin in aghaidh an chliaint ionas gur cinneadh aonchomhaid a bhíonn sa tarraingt siar, agus déan cúltaca den eochair fhillte ar leith ón gcumraíocht fhreastalaí a chumasaíonn sí. Ní dheisíonn ceachtar nós imeartha próifíl chomhrómhairithe, ach socraíonn an dá rud cé chomh tapa a choinnítear an chéad cheann eile faoi smacht.
Cá bhfuil an crúca fíoraithe sa lámhachadh
Ritheann an crúca fíoraithe sula nochtar an chruach TLS, agus is é a chúram na meiteashonraí atá sa bhlob fhillte a scrúdú. Faigheann sé na meiteashonraí sin móide timpeallacht bheag dhoiciméadaithe, agus tá níos lú aige le hoibriú leis ná crúca fíordheimhnithe. Is é an chaoi is gnách a scríobhtar an crúca seo go dona ná glacadh leis go bhfeiceann sé ainmneacha úsáideoirí, staid seisiúin nó athróga breiseáin. Léigh roinn lámhleabhair an chrúca féin seach ionchais a fháil ar iasacht ó chrúca eile.
Is é a stádas scoir an chinneadh: diúltaíonn toradh neamh-nialas don chliant agus ligeann toradh nialas don lámhachadh leanúint. Mar sin caithfidh an polasaí a rá cad a tharlaíonn nuair a bhíonn meiteashonraí in easnamh, doscartha nó gan choinne. Scríobh an cosán diúltaithe ar dtús, ansin socraigh cé na luachanna atá inghlactha.
tls-crypt-v2 /etc/openvpn/server/tcv2-server.key
tls-crypt-v2-verify /etc/openvpn/server/verify-client-metadata.shIs iad an dá líne sin an t-achar polasaí ar an bhfreastalaí: ainmníonn ceann amháin an eochair fhillte, ainmníonn an ceann eile an clár a bhreithníonn gach cliant. Tá gach rud suimiúil sa script, ar fiú rialú leagain agus an léirmheas céanna le haon riail rochtana eile a thabhairt dó.
Scoireann cuntas, teastas agus eochair rialaithe ar leith
Ní fíordheimhniú é glacadh luath an chainéil rialaithe, mar tarlaíonn sé sula ndéantar seiceáil fhéiniúlachta TLS agus sula ndéantar aon údarú cuntais. Is trí ghníomh le trí mheicníocht iad cuntas a dhíchumasú, teastas a chúlghairm agus eochair rialaithe cliaint a dhiúltú. Tá bearna seach polasaí ag imscaradh nach ndéanann ach ceann amháin díobh. Réitigh an triúr go toiliúil, agus taifead cé acu céim a fheidhmíonn cé acu údarás.
Is é an t-amú an dara idirdhealú. Baineann liosta glactha athraithe le lámhachtaí nua, agus leanann seisiúin atá bunaithe cheana féin ar aghaidh go dtí go gcuireann rud éigin deireadh leo. Is é comhaireamh iontrálacha sa liosta nua mar chruthúnas gur tháinig deireadh le seisiúin níos sine an chaoi a bhfanann cliant aistrithe ceangailte ar feadh uaireanta.
Fágann údaráis neamhréitithe dhá pholl atá éasca le fáil go praiticiúil. Is féidir cuntas a dhíchumasú agus a eochair rialaithe fós ag oscailt lámhachta, agus is féidir teastas a chúlghairm agus an polasaí meiteashonraí fós ag admháil an chliaint chéanna. Is é an dearmad céanna in áiteanna difriúla iad araon, mar ghlac oibritheoir le liosta amháin mar an t-údarás iomlán. Cuir na trí liosta taobh le taobh ag am an bhaint agus éiríonn an dearmad sofheicthe.
Próifíl a eisiúint agus a tharraingt siar
Is é an eisiúint an leath éasca: cruthaigh eochair an chliaint ar an taobh glactha, tabhair an phróifíl d'aon úinéir amháin, coinnigh an t-ábhar fillte srianta, agus rith an clár fíoraithe céanna ar gach freastalaí glactha. Is airí den ghrúpa iomlán an ligean isteach saor, ní de na hóstach is nuaí. Iompaíonn dara freastalaí le script níos sine nó níos scaoilte ina chonair is laige san imscaradh go ciúin.
Teastaíonn na trí chéim ón tarraingt siar in ord toiliúil. Diúltaigh don chliant sa chrúca fíoraithe ionas go dteipeann ar lámhachtaí nua, cúlghair a theastas má úsáidtear PKI, agus díchumasaigh an cuntas ionas nach mbeidh aon rud le húdarú ag údarú níos déanaí. Ansin cuir deireadh leis na seisiúin a cheadaigh an sean-ghlacadh, ós rud é nach dtabharfaidh siad faoi deara aon cheann den triúr. Cleacht an t-ord ar chliant ar féidir leat a bhriseadh.
Is ionchur don pholasaí sin iad meiteashonraí i bpróifíl, ní cruthúnas go bhfuil rialú rochtana ann cheana féin. Déanann doiciméad dearaidh OpenVPN 2.6 cur síos ar na réada agus ar an teorainn a tharraingíonn siad, agus fanann an forfheidhmiú leis an oibritheoir.