Bin diddigen fakitin sarrafawa na OpenVPN: tls-auth kafin TLS

Yawanci ana ba da rahoton gazawar tls-auth a matsayin matsalar musafaha, alhali ba ta taɓa kasancewa haka ba. Ana duba HMAC a kan fakitin sarrafawa kafin duk wani aikin TLS ya faru, don haka maɓalli ko alkibla da ba su daidaita ba suna haifar da gazawa da take kama da matsalar takardar shaida kuma ana yanke hukunci a matakai biyu a baya. Yin la’akari da ambulan a matsayin abu na kansa yana sa bincike ya kasance gajere: karanta filayen, tabbatar cewa duba yana faruwa da wuri, sannan kwatanta abubuwa uku da ɓangarorin biyu dole su amince da su.

Karanta ambulan a cikin tsarin da ake gina shi

Fakitin sarrafawa yana ɗauke da mai gano zama, HMAC na tls-auth na zaɓi, bayanin maimaitawa da tabbatarwa, da mai gano saƙo abin dogaro, sannan ɗaukar nauyin nau’in saƙo ya biyo baya. Lokacin da saƙon saƙon musafaha ne, ɗaukar nauyin ya zama rubutun sirri na TLS. Wannan ita ce dukan dangantakar: kayan TLS suna tafiya cikin saƙon da ambulan ya riga ya kare. Duba bayanin ka’idar hanyar sadarwa ta OpenVPN wanda ya lissafa filayen tashar sarrafawa a wannan tsarin.

Yana da sauƙi a rikita Layer ɗin dogaro da cryptography. Tabbatarwa, sake aikawa da mai gano saƙo suna wanzu domin saƙonnin sarrafawa su isa sau ɗaya kuma cikin tsari a kan hanyar da ba abin dogaro ba. Ba su zama tabbaci ba, kuma daidaitaccen mai gano saƙo ba ya tabbatar da komai game da wanda ya aika fakitin.

Ka riƙe wannan rukuni a matsayin ra’ayi. Ba zanen tsarin byte ba ne, kuma bai isa a lissafta tambari ba, domin filayen da ke shiga HMAC sun dogara da aiwatarwa, sigar da yanayi.

Nuna cewa duba yana faruwa kafin musafaha

Mai karɓa da ke da maɓallin da aka raba zai iya tabbatar da HMAC kuma ya jefar da fakitin jabu nan take, ba tare da ware yanayin musafaha ko yin aikin maɓallin jama’a ba. Kariyar tana rufe fakitin farko na musafaha ma, kuma shi ya sa maɓallin da ba daidai ba yake bayyana a matsayin haɗin da ya gaza maimakon kuskuren tabbaci da ya makara.

Ƙara yawan magana na daemon kuma ka lura da tashar sarrafawa maimakon na’urar tun:

openvpn --config /etc/openvpn/server.conf --verb 6

Abin da kake nema shi ne gazawar duba HMAC na tashar sarrafawa da aka ba da rahoto a matakin fakiti, kafin kowane faɗakarwar TLS. Faɗakarwar TLS a cikin log ɗin tana nufin an karɓi ambulan kuma gazawar ta koma ciki, wanda wani bincike ne da wani magani.

Gudanar da alkibla ma tana nan. Lokacin da ake amfani da fayil ɗin maɓalli na tsaye tare da tls-auth, ɓangarorin biyu suna ɗaukar alkiblar maɓalli masu sabani, kuma ka’idar tana amfani da wannan rabo domin fakitin da aka kama ba zai iya juyawa zuwa ga wanda ya aika ba. Juya alkibla yana barin maɓallin ɗaya kuma duk da haka kowane fakiti yana gaza. Canza ɓangare ɗaya a lokaci ɗaya, sannan ka sake kunna daemon ɗin biyu domin a loda ma’auratan tare.

Daidaita maɓalli, alkibla da digest a ɓangarorin biyu

Dole ne dabi’u uku su amince kuma ɗaya ne kawai daga cikinsu fayil ɗin. Abin da ke cikin maɓallin tsaye dole ne ya kasance ɗaya a ɓangarorin biyu, alkibla dole ne ta sabawa, kuma digest ɗin da ake amfani da shi don HMAC dole ne ya dace. Duba tsarin kafin ka taɓa kayan maɓallin, domin alkibla ɗaya da ta juya tana bayanin gazawa fiye da fayil ɗin da ya lalace:

grep -E 'tls-auth|tls-crypt|key-direction|auth ' /etc/openvpn/server.conf

Ƙirƙiri asirin da aka raba da kayan aiki maimakon edita, kuma ka riƙe izini a matse:

openvpn --genkey secret /etc/openvpn/ta.key
chmod 600 /etc/openvpn/ta.key

Tsofaffin sigogi sun karɓi tsarin zaɓi daban kaɗan don ƙirƙirar maɓalli, kuma bayanan da aka rubuta don waɗannan sigogin suna yawo har yanzu. Fayil ɗin da aka ƙirƙira iri ɗaya ne na abu a kowane hali, don haka duba ita ce ko ɓangarorin biyu suna riƙe bytes ɗaya, ba wace rubutu ce ta ƙirƙire su ba.

Kada ka haɗa tls-auth da tls-crypt. Dukansu suna kare tashar sarrafawa, amma tls-crypt yana kuma ɓoye ta kuma yana ɓoye musafaha daga masu kallo, kuma yana maye gurbin rabon alkibla da nasa tsarin maɓalli. Bayanin da ke amfani da ɗaya ba zai yi aiki tare da abokin da aka saita don ɗayan ba, kuma babu daidaita digest da zai rufe wannan gibin.

Sake samar da tambari daga ainihin tsarin kawai

Sake samar da daidai da byte aiki ne daban daga gudanar da VPN, kuma yana aiki ne kawai da ainihin shigarwar: aiwatarwa da sigar da suka gina fakitin, digest ɗin da aka zaɓa, alkibla, da ainihin bytes ciki har da mai gano zama da tsarin tabbatarwa. Bayanin rubutu na jerin filaye ba shi ne waɗannan bytes ɗin ba.

Tsawon tambari ya biyo daga digest, don haka zato na tsawon da ba ya canzawa yana karyewa a lokacin da wani ya canza shi. Hash ɗin fakitin kamar yadda aiwatarwa take yi, ba kamar yadda tebur a cikin rubutun blog yake gabatarwa ba, kuma ka kwatanta da rikodin da aka ɗauka daga wannan abokin maimakon tsammanin da ka samo da hannu.

Ka nisantar da wannan atisaye daga bayanan samarwa. Babu wani abu a cikin sake samar da tambari da zai gaya maka ko turawa ya kamata ta kunna kariyar.

Maido da rashin daidaituwa ba tare da cire kariya ba

Jarrabawar da ke jaraba ita ce goge tls-auth, ganin haɗin ya yi nasara sannan ka yanke hukuncin cewa maɓallin ba daidai ba ne. Wannan amsar tana ɗauke maka kariyar kuma ba ta koya maka wanne daga cikin dabi’u uku ya sabawa ba. A maimakon haka, samo ingantaccen tsarin da ya dace daga ɓangaren uwar garke ka kwatanta da shi.

Shirya canjin domin ya zama abin dawowa. Riƙe tsohon tsarin uwar garke da fayil ɗin maɓalli, yi amfani da ma’auratan da aka gyara, tabbatar cewa abokin ciniki ya kammala musafaha, sannan ka cire ajiyar. Idan abokan ciniki sun gaza bayan canjin, maido da tsoffin fayiloli maimakon ƙirƙirar wani nau’i na uku a lokacin tsayawa. Maidowa ya kamata ya zama umarni ɗaya da ka riga ka sani kafin ka fara.

A ƙarshe, ka tuna abin da duba da ya wuce yake nufi. Yana tabbatar da cewa abokin yana da maɓallin da aka raba, ba cewa takardar shaidarsa ko asusunsa an ba da izini ba, kuma ba ya cewa komai game da sirrin tashar bayanai da aka tattauna. Ana kafa izini da kariyar bayanai daga baya, don haka tsaftataccen duba ambulan mafari ne ba hukunci ba.