શું એ પ્રકાશિત OpenVPN કી CA છે, પીઅર કી છે કે tls-auth?

કોઈ જણાવે છે કે VPN કી જાહેર છે, અને આ વાક્ય ત્રણ સંપૂર્ણપણે અલગ પરિસ્થિતિઓ છુપાવે છે. તે CA પ્રમાણપત્ર હોઈ શકે જે દરેક ક્લાયન્ટ પાસે હોવું જોઈએ, એક ખાનગી ઓળખ કી જે ક્યારેય એક મશીન છોડવી ન જોઈતી હતી, અથવા બંને છેડાએ રાખવો પડતો વહેંચાયેલ નિયંત્રણ-ચેનલ રહસ્ય. સમારકામ, તાકીદ અને નુકસાનનો વ્યાપ દરેક કિસ્સામાં અલગ હોય છે, તેથી પહેલું કામ વર્ગીકરણ છે, ક્રિયા નહીં. શ્રેણી ખોટી પડે તો પછીનું દરેક પગલું વ્યર્થ પરિશ્રમ છે.

ફાઇલના નામથી નહીં, સૂચનાથી શરૂ કરો

સક્રિય રૂપરેખાંકન વાંચો અને જુઓ કે કઈ સૂચના સંબંધિત સામગ્રી તરફ ઇશારો કરે છે. OpenVPN ના TLS વિકલ્પો વિશ્વસનીય પ્રમાણપત્ર સામગ્રી માટે ca, સ્થાનિક પીઅરના પ્રમાણપત્ર માટે cert અને તેની સાથે સંબંધિત ખાનગી કી માટે key વાપરે છે.

ફાઇલના નામ કંઈ સાબિત કરતા નથી. key.pem નામની ફાઇલમાં પ્રમાણપત્ર હોઈ શકે છે, અને પ્રોફાઇલમાંનું ઇનલાઇન બ્લોક ડિસ્ક પરની અલગ ફાઇલ જેવું જ ઑબ્જેક્ટ ધરાવી શકે છે. નામ પર ભરોસો કરવાને બદલે ફાઇલ ખોલો અને તેનું હેડર જુઓ. એક જ તપાસ અહેવાલની મોટા ભાગની અસ્પષ્ટતા દૂર કરે છે.

જો પ્રોફાઇલ PKCS#12 બંડલ હોય, તો તે ખરેખર શું ધરાવે છે તે જોવા માટે તેને નિયંત્રિત જગ્યાએ અનપેક કરો. એક જ બંડલ પ્રમાણપત્ર, તેની શૃંખલા અને ખાનગી કી લઈ શકે છે, એટલે કે બંડલની લીક એ ત્રણેયની લીક છે.

કોઈ ફાઇલ બદલે તે પહેલાં વર્ગીકરણ લખી મૂકો: ઑબ્જેક્ટ, સૂચના, કયા પીઅર તેને રાખે છે અને કોણ તેને વાંચી શકે છે. બાકીનો આખો પ્રતિભાવ આ વાક્ય પર આધારિત છે.

CA પ્રમાણપત્ર વહેંચવા માટે બનાવાયેલ છે

જાહેર CA પ્રમાણપત્ર વિશ્વાસ-સામગ્રી છે. સર્વર ચકાસવા માટે ક્લાયન્ટને તેની જરૂર પડે છે, અને તેનું વિતરણ સામાન્ય કિસ્સો છે, ઘટના નહીં. તેને પ્રકાશિત કરવાથી CA ની ખાનગી સહી કી પ્રકાશિત થતી નથી, અને હુમલાખોરને નવી ઓળખ બનાવવાની તક આપતું ઑબ્જેક્ટ એ જ છે.

આ તફાવત ટિકિટમાં સ્પષ્ટ રીતે લખવા યોગ્ય છે, કારણ કે બંને વારંવાર ભેળવી દેવાય છે. જે પ્રશ્નનો જવાબ આપવાનો છે તે એ છે કે લીક થયેલી ફાઇલ પ્રમાણપત્ર છે કે સહી કી, અને ફાઇલની સામગ્રી પર એક નજર તેને નક્કી કરે છે. પ્રમાણપત્રમાં જાહેર કી અને સહી હોય છે; સહી કી તેમાં બિલકુલ દેખાતી નથી.

વિતરણને હજી પણ કાળજીની જરૂર છે. ક્લાયન્ટે પ્રમાણપત્ર મંજૂર પ્રોફાઇલ-વિતરણ માર્ગેથી મેળવવું જોઈએ, પેસ્ટ સાઇટથી નહીં, અને અવિશ્વસનીય માર્ગે આવતું પ્રમાણપત્ર મુસાફરી દરમિયાન બદલી શકાય છે.

પીઅર કી અને tls-auth રહસ્ય એક નથી

પીઅરની ખાનગી કી ઓળખ-સામગ્રી છે. તે કોપી થઈ ગયા પછી સર્વર હવે ઇચ્છિત ઉપકરણને કોપી ધરાવતા કોઈપણથી અલગ પાડી શકતું નથી, કારણ કે વિશિષ્ટ કબજો એ જ ગુણધર્મ હતો જે સાબિત થતો હતો. અધિકૃતિ ચાલુ રાખવી અને બદલી કરવી એ VPN માલિકના નિર્ણય છે, ફાઇલ મળી તે વ્યક્તિના નહીં.

tls-auth રહસ્ય ત્રીજી વસ્તુ છે. તે નિયંત્રણ-ચેનલ પેકેટની આસપાસ HMAC પ્રમાણીકરણ ઉમેરે છે જેથી ખોટી રીતે પ્રમાણીકૃત પેકેટ TLS વિનિમય પહેલાં જ કાઢી નાખવામાં આવે, અને તે પીઅરની ખાનગી કી પણ નથી અને એપ્લિકેશન ડેટા એન્ક્રિપ્ટ કરતી કી પણ નથી.

જો એ વહેંચાયેલ રહસ્ય જાહેર હોય, તો તે જે અવરોધ આપતું હતું તે તે ધરાવતા દરેક માટે ગયું. એથી એમ નથી નીકળતું કે દરેક ધારક તેની પાછળની પ્રમાણપત્ર અને વપરાશકર્તા તપાસ પાસ કરે છે, અને તેથી જ વર્ગીકરણ એલાર્મ સ્તર કરતાં વધુ મહત્ત્વનું છે. કહો કયો અવરોધ પડ્યો, અને કહો કયા બાકી છે.

જે ભૂમિકા લીક થઈ તેનું સમારકામ કરો, પડોશીનું નહીં

ફાઇલનું નામ બદલીને કે ડાઉનલોડ લિંક છુપાવીને વહેંચાયેલ રહસ્યને ફરી ખાનગી બનાવી શકાતું નથી. બદલીનો અર્થ નવું મૂલ્ય બનાવીને સંકલિત ફેરફારમાં દરેક પીઅર સુધી પહોંચાડવું છે, અને ફક્ત એક બાજુ બદલવાથી જૂનું મૂલ્ય ધરાવતા દરેક માટે ગોઠવણ તૂટી જાય છે.

જો પીઅરની ઓળખ ખુલ્લી પડી હોય, તો તે ઓળખ માટે ઓપરેટરની રદ અને પુનઃ નોંધણી પ્રક્રિયા વાપરો. અસંબંધિત ખાતાનો પાસવર્ડ બદલવાથી કોપી કરેલું પ્રમાણપત્ર અમાન્ય થતું નથી, અને tls-auth ફાઇલ બદલવાથી પણ નહીં.

કોઈપણ વસ્તુ પર આધાર રાખતા પહેલાં તૈનાત સર્વર ખરેખર શું લાગુ કરે છે તેની ખાતરી કરો. જે રદ-યાદી રિફ્રેશ થતી નથી, અથવા જે ભૂમિકા-તપાસ વિક્ષેપ દરમિયાન બંધ કરાઈ હતી, તે જવાબ સંપૂર્ણપણે બદલી નાખે છે. રિપોઝિટરીની કોપી નહીં, ચાલુ રૂપરેખાંકન વાંચો.

ભૂતકાળના ટ્રાફિકનો તેની પોતાની શરતો પર ન્યાય કરો

ખુલ્લી પડેલી ફાઇલ પોતે જણાવતી નથી કે પહેલાં પકડાયેલા સત્રો ડિક્રિપ્ટ કરી શકાય છે કે નહીં. તે કી-સ્થાપના પદ્ધતિ, ખુલ્લી પડેલી સામગ્રી અને કયા રેકોર્ડ અસ્તિત્વમાં છે તેના પર આધારિત છે, અને ‘બધો ટ્રાફિક ગયો’ તથા ‘કંઈ થયું નહીં’—બંને તે તથ્યો વિના અનુમાન છે.

ક્રેડેન્શિયલ કઈ શ્રેણીમાં આવે છે તે પૂછતી વખતે તેની બીજી કોપી પોસ્ટ ન કરો. તેના બદલે મંજૂર સપોર્ટ માર્ગે સૂચનાઓના નામ અને ગુપ્ત-ન હોય તેવા મેટાડેટા શેર કરો.

ઉપયોગી નિષ્કર્ષમાં ઑબ્જેક્ટ, તેની ભૂમિકા, ગુમાવેલ રક્ષણ અને જરૂરી સંકલિત પગલાનો ઉલ્લેખ હોય છે. તેનાથી ટૂંકું કંઈ શીર્ષક છે, મૂલ્યાંકન નહીં.