Cad a chosnaíonn pasfhocal ar phríomheochair VPN i ndáiríre

Is furasta an leid a fheictear nuair a thosaíonn cliant VPN a mhíléamh. Ní hé pasfhocal an chuntais VPN é, ní hé pasfhocal an tolláin é, agus ní chruthaíonn sé sin go bhfuil an nasc slán. Díghlasálann sé aon léiriú stóráilte amháin de phríomheochair ionas gur féidir leis an gcliant an t-ábhar eochrach a léamh agus é a úsáid le haghaidh fíordheimhnithe. Is ceist eile gach rud a tharlaíonn ina dhiaidh sin.

Go praiticiúil téann an freagra mícheart ag na himill: measann daoine go gcosnaíonn an pasfhocal an tollán reatha, nó go gcuireann athrú air cóip den eochair a sceith cheana féin ar ceal. Teipeann ar an dá bharúil, agus teipeann orthu araon ar bhealach a fhágann dintiúir nochta agus an t-oibreoir den tuairim go bhfuil sé déanta.

Diailóg amháin, rúin éagsúla

Díghlasálann pasfhocal príomheochrach comhad. Fíordheimhníonn pasfhocal cuntais thú le seirbhís. Díghlasálann pasfhocal iompórtála PKCS#12 beart ina bhfuil eochair agus a theastas, agus b'fhéidir nach é an téad céanna é le pasfhocal na heochrach féin. Féadfaidh na leideanna seo a bheith beagnach mar an gcéanna, agus is é buille faoi thuairim a thabhairt faoi cén rún a théann cá háit an bealach a gcónaíonn eochracha greamaithe sa réimse mícheart.

Is é criptiú an tolláin féin an ceathrú rud. Úsáideann an cainéal sonraí eochracha seisiúin a ndéantar idirbheartaíocht orthu le linn an chromadh láimhe; níl aon ról ag pasfhocal na príomheochrach maidir le pacáistí aonair a chosaint. Má tá duine in ann comhad na heochrach a léamh, féadfaidh sé iarracht an pasfhocal a thomhas as líne, ach má tá sé in ann pacáistí a léamh, níl an pasfhocal ábhartha.

Cad a chlúdaíonn an criptiú ar an diosca

Tagann eochair PEM chriptithe i dhá chruth, agus insíonn an ceannteideal duit cé acu atá agat. Tosaíonn an fhoirm nua-aimseartha PKCS#8 le -----BEGIN ENCRYPTED PRIVATE KEY-----; tosaíonn an tseanfhoirm PEM, atá fós coitianta i seanchórais OpenVPN, le -----BEGIN RSA PRIVATE KEY----- agus iompraíonn sí Proc-Type: 4,ENCRYPTED agus líne DEK-Info díreach faoina bun. Coinníonn an comhad an phríomheochair chriptithe faoi eochair a dhíorthaítear ó do phasfhocal, go hiondúil trí KDF bunaithe ar phasfhocal a bhfuil líon athráite nó fachtóir oibre sonraithe aige. Clúdaíonn doiciméadú OpenSSL pkey na formáidí agus na roghanna pasfhocail a bhaineann le léamh.

Leanann dhá iarmhairt. Is féidir ionsaí a dhéanamh ar phasfhocal lag as líne ag an ráta a cheadaíonn an KDF, mar sin tá ceadanna comhaid agus rochtain ar chúltaca fós tábhachtach fiú nuair a bhíonn an comhad criptithe. Agus caithfidh ionsaitheoir nach bhfaigheann ach an comhad gan an pasfhocal buille faoi thuairim a thabhairt; tá an eochair ag an duine a fhaigheann an comhad agus an pasfhocal, díreach mar nach mbeadh sé criptithe riamh.

head -3 vpn.key
openssl pkey -in vpn.key -noout -pubout
openssl pkcs12 -in bundle.p12 -info -noout

Taispeánann head -3 an ceannteideal agus, ar sheanchomhad, na línte Proc-Type agus DEK-Info a chruthaíonn criptiú; ní fianaise í líne amháin i gceachtar treo. Iarrann líne pkey an pasfhocal agus ní phriontálann sí ach an leath poiblí, rud a chruthaíonn go n-oibríonn an comhad agus an pasfhocal gan an phríomheochair a nochtadh. Ná húsáid -text don seiceáil sin: priontálann sé na comhpháirteanna príobháideacha, privateExponent, prime1, prime2 agus an chuid eile, agus ní cheadaítear an t-aschur sin a ghreamú áit ar bith, ní i dticéad, i gcomhrá ná i loga. Insíonn an t-ordú PKCS#12 duit freisin an bhfuil pasfhocal MAC nó criptithe ar leith ag an mbeart, rud is fiú a bheith ar eolas agat sula dtugann tú do chomhghleacaí é.

Cad a stopann sé a chosaint nuair a luchtaítear an eochair

Is imeacht aonbhealaigh é an díghlasáil don phróiseas sin. Iarrann an cliant an eochair ar an KDF, díghlasálann sé an comhad, agus coinníonn sé an phríomheochair sa chuimhne chomh fada agus a theastaíonn uaidh. Ón nóiméad sin ní chosnaíonn an pasfhocal aon rud faoin seisiún reatha: ní cuimhne an phróisis, ní dump lárchomhaid, ní seisiún dífhabhtaithe atá ceangailte leis an gcliant, agus ní cúltaca den mheaisín a tógadh agus an eochair in úsáid.

Is é seo an teorainn chéanna le heochair SSH a bhfuil pasfhocal uirthi, nó le boghta díghlasáilte bainisteoir pasfhocal. Ardaíonn sé costas na comhad a ghoid agus é ina luí agus ní dhéanann sé aon rud i gcoinne bogearraí mailíseacha a ritheann mar do úsáideoir, feidhmchláir údaraithe a iarrann ar an gcliant síniú, nó riarthóir atá in ann cuimhne a léamh. Caith leis mar aon chiseal amháin, ní mar an rialtán a dhéanann eochair sábháilte le fágáil timpeall.

Cén fáth a dtagann an leid ar ais i gcónaí

Ní gá go mbeadh cliant a iarrann arís ar gach athnasc briste. Seasann roinnt cliant an pasfhocal sa taisce don seisiún, stórálann roinnt é i slabhra eochracha an OS, agus is féidir roinnt a dhíriú ar chúntóir a sholáthraíonn é, mar sin braitheann an t-iompar a fhaigheann tú ar an gcliant agus ar a chumraíocht, ní ar chomhad na heochrach.

Má tá an leid athráiteach ina ghearán iarbhír, scrúdaigh roghanna taisce agus fíordheimhnithe an chliaint sula mbainfidh tú an criptiú den eochair. Athraíonn baint an phasfhocail comhad cosanta ina eochair ghlan-théacs, agus éiríonn an t-athnasc ciúin ar chostas an aon rialtáin scíthe a bhí agat. Is é an freagra is fearr de ghnáth stór dintiúir thacaithe leis na ceadanna comhaid céanna a d'úsáidfeá ar aon nós.

Ní hé an caillteanas agus an nochtadh an deisiú céanna

Ní féidir pasfhocal caillte a aisghabháil ón teastas. Is ábhar poiblí é an teastas a cheanglaíonn ainm le heochair; níl aon chonair ar ais chuig an bpríomheochair ann ná aon leid faoin bpasfhocal. Is iad na roghanna praiticiúla cúltaca údaraithe den eochair, nó féiniúlacht nua a eisítear trí ghnáthphróiseas an oibreora. Tá aon duine a thairgeann an pasfhocal a 'aisghabháil' ag tairiscint é a thomhas.

Teastaíonn freagra difriúil ón nochtadh. Má dhéantar an eochair chéanna a athchriptiú le pasfhocal nua, fanann ábhar na heochrach gan athrú, mar sin oibríonn cóip a díghlasáladh cheana féin in áit eile fós. Is é an deisiú an dintiúir a chúlghairm nó a mhalartú: eisigh eochair agus teastas nua, dáileadh iad, agus cuir an ceann sean ar scor ag an gcomhghleacaí. Go dtí go dtarlaíonn sé sin, is cothabháil é athrú phasfhocal an chomhaid, ní coimeád. Coinnigh an seanchomhad amach ó chúltacaí ach amháin tar éis a dheimhniú go n-oibríonn an fhéiniúlacht nua, agus taifead cén tsraithuimhir nó méarlorg a tháinig ina áit.