Abin da kalmar wucewa a kan maɓallin sirri na VPN ke kariya a zahiri

Tambayar da ke bayyana lokacin da abokin ciniki na VPN ya fara yana da sauƙin karanta ba daidai ba. Ba kalmar wucewa ta asusun VPN ba ce, ba kalmar wucewa ta rami ba ce, kuma shigar da ita ba ta tabbatar da cewa haɗin yana da tsaro ba. Tana buɗe wata ajiyar wakilci na maɓallin sirri domin abokin ciniki ya iya karanta kayan maɓallin kuma ya yi amfani da shi don tabbatarwa. Duk abin da ya faru bayan haka wata tambaya ce.

A aikace amsar tana kuskure a gefuna: mutane suna ɗauka cewa kalmar wucewa tana kare ramin da ke gudana, ko canza ta yana soke kwafin maɓallin da ya riga ya zube. Duk zato biyu suna kasawa, kuma dukansu suna kasawa ta yadda abin shaida ya kasance a bayyane yayin da mai aiki yake tunanin an magance shi.

Tattaunawa ɗaya, sirri daban-daban

Kalmar wucewa ta maɓallin sirri tana buɗe fayil. Kalmar wucewa ta asusu tana tabbatar da kai ga sabis. Kalmar wucewa ta shigo da PKCS#12 tana buɗe ƙunshin da ke ɗauke da maɓalli da takardar shaidarsa, kuma yana iya zama ba irin wannan igiyar ba kamar kalmar wucewa ta maɓallin kanta. Waɗannan tambayoyin na iya kama da juna sosai, kuma yin hasashen wane sirri ke zuwa ina shine yadda maɓallai ke ƙarewa an liƙa su a filin da ba daidai ba.

Ƙwayoyin ramin da kansa abu ne na huɗu. Tashar bayanai tana amfani da maɓallan zama da aka tattauna yayin musafaha; kalmar wucewa ta maɓallin sirri ba ta da wani matsayi wajen kare fakiti ɗaya. Idan wani zai iya karanta fayil ɗin maɓalli, zai iya ƙoƙarin hasashen kalmar wucewa a wajen layi, amma idan zai iya karanta fakiti, kalmar wucewa ba ta da mahimmanci.

Abin da ɓoyewar da ke kan diski ke rufewa

Maɓallin PEM da aka ɓoye yana zuwa da sifofi biyu, kuma kan rubutun yana gaya maka wanda kake da shi. Sifin PKCS#8 na zamani yana farawa da -----BEGIN ENCRYPTED PRIVATE KEY-----; tsohon sifin PEM, wanda har yanzu ya zama ruwan dare a tsoffin saitin OpenVPN, yana farawa da -----BEGIN RSA PRIVATE KEY----- kuma yana ɗauke da Proc-Type: 4,ENCRYPTED da layin DEK-Info a ƙasa kai tsaye. Fayil ɗin yana riƙe da maɓallin sirri a ɓoye ƙarƙashin maɓallin da aka samo daga kalmar wucewarka, yawanci ta hanyar KDF na tushen kalmar wucewa tare da ƙayyadadden adadin maimaitawa ko ma'aunin aiki. Takardun OpenSSL pkey sun rufe sifofin da zaɓuɓɓukan kalmar wucewa waɗanda suka shafi lokacin karantawa.

Sakamako biyu suna biyo baya. Ana iya kaiwa hari da raunin kalmar wucewa a wajen layi bisa saurin da KDF ya yarda, don haka izinin fayil da damar yin ajiyar baya har yanzu suna da mahimmanci ko da fayil ɗin yana ɓoyayye. Kuma mai hari da ya sami fayil ɗin kawai ba tare da kalmar wucewa ba dole ne ya yi hasashe; wanda ya sami fayil ɗin da kalmar wucewa yana da maɓallin, kamar ba a taɓa ɓoye shi ba.

head -3 vpn.key
openssl pkey -in vpn.key -noout -pubout
openssl pkcs12 -in bundle.p12 -info -noout

head -3 yana nuna kan rubutun kuma, a tsohon fayil, layukan Proc-Type da DEK-Info waɗanda ke tabbatar da ɓoyewa; layi ɗaya shi kaɗai ba hujja ba ce a kowane gefe. Layin pkey yana neman kalmar wucewa kuma yana buga rabin jama'a kawai, wanda ke tabbatar da fayil ɗin da kalmar wucewa suna aiki ba tare da fallasa maɓallin sirri ba. Kada ka yi amfani da -text don wannan dubawa: yana buga sassan sirri, privateExponent, prime1, prime2 da sauran, kuma ba za a taɓa liƙa wannan fitarwa a ko'ina ba, ba a tikit ba, ba a hira ba, ba a log ba. Umarnin PKCS#12 kuma yana gaya maka ko ƙunshin yana da kalmar wucewa ta MAC ko ɓoyewa daban, wanda ya cancanci sani kafin ka ba abokin aikinka shi.

Abin da ya daina kariya da zarar an loda maɓallin

Buɗewa lamari ne mai hanya ɗaya ga wannan tsari. Abokin ciniki yana neman maɓallin daga KDF, yana buɗe fayil ɗin, kuma yana riƙe da maɓallin sirri a ƙwaƙwalwa muddin yana buƙatarsa. Daga wannan lokacin kalmar wucewa ba ta kare kome game da zaman da ke gudana: ba ƙwaƙwalwar tsari ba, ba zubar da cibiya ba, ba zaman gyara kuskure da ke haɗe da abokin ciniki ba, kuma ba ajiyar na'urar da aka yi yayin da ake amfani da maɓallin ba.

Wannan ita ce iyaka ɗaya da maɓallin SSH mai kalmar wucewa, ko buɗaɗɗen ajiya na mai sarrafa kalmar wucewa. Yana ƙara tsadar sata fayil ɗin a hutu kuma ba ya yin komai game da malware da ke gudana a matsayin mai amfani da kai, aikace-aikacen da aka ba da izini da ke neman abokin ciniki ya sa hannu, ko mai gudanarwa da zai iya karanta ƙwaƙwalwa. Ka ɗauke shi a matsayin mataki ɗaya, ba a matsayin kulawar da ke sa maɓalli ya zama lafiya a bar shi a kwance ba.

Me ya sa tambayar ke komawa akai-akai

Abokin ciniki da ke sake tambaya a kowane sake haɗi ba lallai ba ne ya lalace. Wasu abokan ciniki suna ajiye kalmar wucewa a ajiyar zama, wasu suna ajiye ta a cikin sarƙar maɓalli ta OS, wasu kuma ana iya nusar da su ga mataimaki da ke bayar da ita, don haka halin da za ka samu ya dogara da abokin ciniki da tsarin sa, ba da fayil ɗin maɓalli ba.

Idan tambayar da ake maimaitawa ita ce ainihin korafi, bincika zaɓuɓɓukan ajiya da tabbatarwa na abokin ciniki kafin cire ɓoyewa daga maɓallin. Cire kalmar wucewa yana mai da fayil mai kariya zuwa maɓallin rubutu bayyananne, kuma sake haɗi yana yin shiru a farashin kulawar hutu ɗaya da kake da ita. Amsa mafi kyau yawanci shine ajiyar shaida da aka goyi baya tare da izinin fayil ɗaya da za ka yi amfani da shi ko ta yaya.

Asara da fallasa ba gyara ɗaya ba ne

Ba za a iya dawo da kalmar wucewa da ta ɓace daga takardar shaidar ba. Takardar shaidar abu ne na jama'a da ke ɗaure suna ga maɓalli; ba ta da hanyar komawa ga maɓallin sirri ko alamar kalmar wucewa. Zaɓuɓɓukan da suka dace su ne ajiyar maɓallin da aka ba da izini, ko sabon asali da aka bayar ta hanyar tsarin mai aiki na yau da kullum. Duk wanda ya ba da shawarar 'dawo da' kalmar wucewa yana ba da shawarar yin hasashe ta.

Fallasa tana buƙatar amsa daban. Sake ɓoye maɓallin ɗaya da sabuwar kalmar wucewa yana barin kayan maɓallin ba su canza ba, don haka kwafin da aka riga aka buɗe a wani wuri yana aiki har yanzu. Gyaran shine soke ko maye gurbin shaidar: bayar da sabon maɓalli da takardar shaida, rarraba su, sannan ka yi ritaya da tsohon a wurin abokin tarayya. Har sai hakan ya faru, canza kalmar wucewa ta fayil aikin gida ne, ba kariya ba. Ka ajiye tsohon fayil daga ajiyar baya bayan an tabbatar sabon asalin yana aiki, kuma ka rubuta wane serial ko fingerprint ya maye gurbinsa.