openssl dhparam -check શું ચકાસે છે અને શું ચૂકી જાય છે

dhparam -check પાસ કરવું તમારા VPN ના Diffie-Hellman સેટઅપ પર ચુકાદા જેવું લાગે છે. એવું નથી. આદેશ એક પેરામીટર ફાઇલની સરખામણી તેના દાવાવાળા ગણિત સાથે કરે છે, અને જૂથનું માપ તમારી નીતિ સાથે મેળ ખાય છે કે નહીં અથવા ટનલ એ ફાઇલ લોડ કરે છે કે નહીં તે વિશે કંઈ કહેતો નથી. તેને સુરક્ષા સમીક્ષા તરીકે વાંચવું એ પહેલું સુધારવા લાયક ધારણ છે.

પેરામીટર ફાઇલમાં એક અવિભાજ્ય સંખ્યા અને એક જનરેટર હોય છે. માન્યતા એ સંખ્યાઓનો ગુણધર્મ છે, જ્યારે મજબૂતાઈ તમારા ધમકી મોડેલ અને તમારા સાથીઓ વિશેનો નિર્ણય છે, અને બંને એકબીજાના બદલે વાપરી શકાતા નથી.

માન્યતા તપાસ ખરેખર શું પ્રમાણિત કરે છે

તમારી પાસેની ફાઇલ પર તપાસ ચલાવો અને જવાબ વાંચો. openssl dhparam -in dh.pem -check -noout પેરામીટર તપાસ કરે છે અને એન્કોડેડ આઉટપુટ દબાવી દે છે. પેરામીટર ઠીક લાગે છે એવો સંદેશ એટલો જ અર્થ છે કે મૂલ્યો રચનાત્મક રીતે સુસંગત છે; એનો અર્થ એ નથી કે ટૂંકું જૂથ તમારા વાતાવરણમાં સ્વીકાર્ય છે.

-dsaparam વિના જનરેટ કરવાથી સુરક્ષિત અવિભાજ્ય સંખ્યાઓ મળે છે, જ્યાં (p-1)/2 પણ અવિભાજ્ય હોય છે, તેથી જ આટલો સમય લાગે છે. DSA શૈલીનો માર્ગ પેરામીટર ઝડપથી બનાવે છે અને તેમને DH સ્વરૂપમાં ફેરવે છે, અને OpenSSL માર્ગદર્શિકા તેમના ઉપયોગ સાથે વધારાની નવી કીની આવશ્યકતાઓ જોડે છે. બંને રચનાઓમાંથી કોઈ સત્ર ગુપ્ત નથી: ફાઇલ જાહેર રૂપરેખાંકન સામગ્રી છે, પ્રમાણપત્રની ખાનગી કી નથી અને નિયંત્રણ ચેનલનું વહેંચાયેલ રહસ્ય નથી.

ફાઇલનો નિર્ણય કરતાં પહેલાં માપ અને જનરેટર વાંચો

માન્યતાનું પરિણામ ત્યારે વધુ અર્થ ધરે છે જ્યારે તમે જાણો કે શું ચકાસાયું. openssl dhparam -in dh.pem -text -noout વડે પેરામીટર છાપો, પછી અવિભાજ્ય સંખ્યાની લંબાઈ અને જનરેટરનું મૂલ્ય નોંધો.

એ લંબાઈની સરખામણી ટેવ સાથે નહીં, લિખિત નીતિ સાથે કરો. જો તમારી આવશ્યકતા આધુનિક TLS સ્ટેકનું મંજૂર નામવાળું જૂથ હોય, તો હાથે બનાવેલી ફાઇલ સંપૂર્ણ ખોટી કલાકૃતિ હોઈ શકે. બંને સંખ્યાઓ ફેરફાર રેકોર્ડમાં લખો જેથી આગલા સમીક્ષકને ફરી તેમને કાઢવા ન પડે.

તપાસને ફરી બનાવવામાં ફેરવશો નહીં

અહીં નિષ્ફળતાની રીત એવો આદેશ છે જે તપાસ જેવો દેખાય છે અને જનરેટર જેવો વર્તે છે. બિટ લંબાઈ ઉમેરવી, જેમ કે openssl dhparam -check 2048, નવા પેરામીટર માંગે છે અને ઇનપુટ ફાઇલ અવગણાય છે. જનરેટર વિકલ્પ પણ એમ જ કરી શકે. જો તમે ફક્ત નિરીક્ષણ કરવા માંગતા હો, તો -in અને -check આપો અને માપ વર્ણવે એવું કંઈ ન આપો.

મૂળ પથ પર આઉટપુટ લખવું એ જ શંકાને લાયક છે, કારણ કે માર્ગદર્શિકા ચેતવે છે કે ફાઇલ આઉટપુટ પરમાણુ નથી. લખાણ વચ્ચે ક્રેશ થવાથી કપાયેલી પેરામીટર ફાઇલ અને શરૂ ન થતી સેવા રહે છે.

જૂથને પ્રોટોકોલ સાથે મેળવો, વલણ સાથે નહીં

માપની નીતિ એવો નિર્ણય છે જે સાધન તમારા વતી વાંચી શકતું નથી. 2048 બિટનું સીમિત-ક્ષેત્ર જૂથ સામાન્ય નીચી મર્યાદા છે અને મોટા જૂથો હેન્ડશેક સમય ખર્ચે છે, તેથી તમારી પોતાની આધારરેખા જે આંકડો કહે તે પસંદ કરો અને લખી રાખો. વ્યાપક વપરાતા જૂથો જાહેર હોવાને કારણે નબળા નથી; અસ્પષ્ટતા અહીં કંઈ ઉમેરતી નથી.

જ્યાં સ્ટેક મંજૂર નામવાળા જૂથોને ટેકો આપે છે, ત્યાં અનોખા દેખાવા માટે અસામાન્ય પેરામીટર બનાવવાને બદલે એ દસ્તાવેજી ગોઠવણી અનુસરો. નામવાળું જૂથ એવું છે જે સાથી ઓળખી શકે અને સમીક્ષક શોધી શકે, જે કોઈ વર્ગીકરણ ન કરી શકે એવી વ્યક્તિગત ફાઇલ કરતાં વધુ મૂલ્યવાન છે.

ખાતરી કરો કે VPN ફાઇલ લોડ કરે છે

કોઈ પ્રક્રિયા ન વાંચે એવી સાચી પેરામીટર ફાઇલ કંઈ બદલતી નથી. OpenVPN માં સર્વર નિર્દેશ પથ સાથે dh છે, અને ECDH અથવા TLS 1.3 કી વિનિમય પર આધાર રાખતી જમાવટ તેના બદલે dh none સેટ કરી શકે છે. ટેમ્પલેટ નહીં, ચાલુ રૂપરેખાંકન તપાસો, પછી ખાતરી કરો કે ક્લાયન્ટ અને સાથીઓ એ જ રચના પર સંમત થાય છે.

તમને ખરેખર જરૂરી પુરાવા સાથે ચક્ર બંધ કરો: ટનલે જે જૂથ પર વાટાઘાટ કરી, ફાઇલમાં પેરામીટરની લંબાઈ, અને જે નીતિની લાઇન એ લંબાઈ પૂરી કરે છે. પાસ થયેલી તપાસ એ યાદીમાં એક જ મુદ્દો છે. તેને સંપૂર્ણ જવાબ ગણવો એ જ રીતે ટૂંકું જૂથ એવી ઓડિટમાંથી બચી જાય છે જે તેને પકડવાની હતી.