Rianú paicéad rialaithe OpenVPN: tls-auth roimh TLS

Tuairiscítear teip tls-auth mar fhadhb chroitheadh láimhe de ghnáth, agus ní raibh sí riamh mar sin. Seiceáiltear an HMAC ar an bpaicéad rialaithe sula dtarlaíonn aon phróiseáil TLS, mar sin cruthaíonn eochair nó treo míchuí teip a bhfuil cuma fhadhb teastais uirthi agus a shocraítear dhá shraith níos luaithe. Má dhéileáiltear leis an bhfálú mar rud ann féin, bíonn an diagnóis gairid: léigh na réimsí, deimhnigh go dtosaíonn an tseiceáil go luath, agus ansin cuir i gcomparáid na trí rud a chaithfidh an dá cheann a aontú.

Léigh an fálú san ord ina dtógtear é

Iompraíonn paicéad rialaithe aitheantóir seisiúin, an HMAC tls-auth roghnach, faisnéis athsheinm agus admhála, agus aitheantóir teachtaireachta iontaofa, agus tagann ualach an chineáil theachtaireachta ina dhiaidh sin. Nuair is teachtaireacht chroitheadh láimhe í an teachtaireacht, is é an t-ualach téacs sifeartha TLS. Sin an gaol iomlán: téann ábhar TLS taobh istigh de theachtaireacht a chosnaíonn an fálú cheana féin. Féach ar tagairt phrótacal líonra OpenVPN a liostaíonn réimsí an chainéal rialaithe san ord sin.

Is furasta an tsraith iontaofachta a mheascadh le cripteagrafaíocht. Tá admhálacha, athsheoladh agus an t-aitheantóir teachtaireachta ann ionas go dtagann teachtaireachtaí rialaithe uair amháin agus in ord thar iompar neamhiontaofa. Ní fíordheimhniú iad, agus ní chruthaíonn aitheantóir teachtaireachta ceart aon rud faoi cé a sheol an paicéad.

Coinnigh an grúpáil seo coincheapúil. Ní léaráid ordaithe beart é, agus ní leor é chun clib a ríomh, mar braitheann na réimsí a théann isteach san HMAC ar fheidhmiú, leagan agus mód.

Taispeáin go dtosaíonn an tseiceáil roimh an gcroitheadh láimhe

Is féidir le glacadóir a bhfuil an eochair chomhroinnte aige an HMAC a fhíorú agus paicéad bréige a chaitheamh amach láithreach, gan staid chroitheadh láimhe a leithdháileadh ná obair eochrach poiblí a dhéanamh. Clúdaíonn an chosaint na chéad phaicéid chroitheadh láimhe freisin, agus is ar an gcúis sin a thaispeántar eochair mhícheart mar cheangal teipthe seachas mar earráid fhíordheimhnithe dhéanach.

Ardaigh briathrachas an daemon agus féach ar an gcainéal rialaithe seachas ar an bhfeiste tun:

openvpn --config /etc/openvpn/server.conf --verb 6

Is é atá á lorg agat teip fíoraithe HMAC an chainéal rialaithe a thuairiscítear ar leibhéal an phaicéid, roimh aon rabhadh TLS. Ciallaíonn rabhadh TLS sa logáil gur glacadh leis an bhfálú agus gur bhog an teip isteach, rud atá ina imscrúdú difriúil le réiteach difriúil.

Tá láimhseáil treo anseo freisin. Nuair a úsáidtear comhad eochrach statach le tls-auth, glacann an dá cheann treonna eochrach contrártha, agus úsáideann an prótacal an deighilt sin ionas nach féidir paicéad a gabhadh a fhrithchaiteadh ar ais chuig a sheoltóir. Má chuirtear an treo droim ar ais fanann an eochair mar a chéile agus teipeann gach paicéad fós. Athraigh ceann amháin ag an am, ansin atosaigh an dá dhaemon ionas go lódáiltear an péire le chéile.

Aimsigh eochair, treo agus digest ar an dá cheann

Caithfidh trí luach teacht le chéile agus ní hé ach ceann amháin acu an comhad. Caithfidh ábhar na heochrach stataí a bheith comhionann ar an dá cheann, caithfidh an treo a bheith contrártha, agus caithfidh an digest a úsáidtear don HMAC teacht leis. Seiceáil an chumraíocht sula ndéanann tú teagmháil leis an ábhar eochrach, mar míníonn aon treo amháin droim ar ais níos mó teipeanna ná comhad truaillithe:

grep -E 'tls-auth|tls-crypt|key-direction|auth ' /etc/openvpn/server.conf

Gin an rún comhroinnte leis an uirlis seachas le heagarthóir, agus coinnigh na ceadanna daingean:

openvpn --genkey secret /etc/openvpn/ta.key
chmod 600 /etc/openvpn/ta.key

Ghlac seanchóipeanna le hord roghanna beagán difriúil chun eochracha a ghiniúint, agus tá próifílí scríofa do na cóipeanna sin fós i gcúrsaíocht. Is ionann an cineál ruda don chomhad a ghintear sa dá chás, mar sin is é an tseiceáil ná an bhfuil bearta comhionanna ag an dá cheann, ní cé acu litriú a chruthaigh iad.

Ná measc tls-auth le tls-crypt. Cosnaíonn an dá rud an cainéal rialaithe, ach déanann tls-crypt é a chriptiú freisin agus ceileann sé an croitheadh láimhe ó bhreathnóirí, agus cuireann sé a láimhseáil eochrach féin in ionad na deighilte treo. Ní oibreoidh próifíl a úsáideann ceann acu le piara a chumraítear don cheann eile, agus ní dhúnann aon tiúnáil digest an bhearna sin.

Déan clib a atáirgeadh ón bhfíor-formáid amháin

Tasc ar leith ó VPN a rith is ea atáirgeadh beacht go beart, agus ní oibríonn sé ach leis na fíor-ionchuir: an fheidhmiú agus an leagan a thóg an paicéad, an digest roghnaithe, an treo, agus na bearta iarbhír lena n-áirítear aitheantóir seisiúin agus eagar admhála. Ní hé léiriú téacsúil ar liosta na réimsí na bearta sin.

Leanann fad na clibe ón digest, mar sin bristear an toimhde faid sheasta an nóiméad a athraíonn duine é. Déan an paicéad a hasha mar a dhéanann an feidhmiú, ní mar a chuireann tábla i bpost blag i láthair é, agus déan comparáid le gabháil a tógadh ón bpiara céanna seachas le hionchas a bhain tú amach de láimh.

Coinnigh an cleachtadh sin amach ó phróifílí táirgthe. Ní insíonn aon rud faoi chlib a atáirgeadh duit ar cheart d’imscaradh an chosaint a chumasú.

Cuir mí-chomhoiriúnú ar ais gan an chosaint a bhaint

Is é an tástáil mhealltach tls-auth a scriosadh, a fheiceáil go n-éiríonn leis an gceangal agus a thabhairt chun críche go raibh an eochair mícheart. Cailleann an freagra sin an chosaint ort agus ní mhúineann sé aon rud faoi cé acu de na trí luach a bhí easaontach. Faigh an chumraíocht chomhoiriúnach cheadaithe ó thaobh an fhreastalaí agus déan comparáid léi ina ionad.

Ullmhaigh an t-athrú ionas gur féidir é a aisiompú. Coinnigh cumraíocht agus comhad eochrach an fhreastalaí roimhe seo, cuir an péire ceartaithe i bhfeidhm, fíoraigh go gcríochnaíonn cliant an croitheadh láimhe, agus ansin amháin bain an chúltaca. Má theipeann ar chliaint tar éis an athraithe, cuir na comhaid roimhe seo ar ais seachas an tríú leagan a sheiftiú le linn briseadh. Ba cheart go mbeadh an t-athchóiriú ina aon ordú amháin atá ar eolas agat cheana sula dtosaíonn tú.

Ar deireadh, cuimhnigh cad is brí le seiceáil a n-éiríonn léi. Cruthaíonn sé go bhfuil an eochair chomhroinnte ag an bpiara, ní go bhfuil a theastas nó a chuntas údaraithe, agus ní deir sé aon rud faoin sifear a caibidlíodh don chainéal sonraí. Bunaítear údarú agus cosaint sonraí níos déanaí, mar sin is pointe tosaigh é seiceáil ghlan an fhálaithe seachas breithiúnas.