क्या वह प्रकाशित OpenVPN कुंजी CA है, पीयर कुंजी है या tls-auth?

कोई बताता है कि VPN कुंजी सार्वजनिक है, और यह वाक्य तीन पूरी तरह अलग स्थितियाँ छिपाता है। यह एक CA प्रमाणपत्र हो सकता है जो हर क्लाइंट के पास होना चाहिए, एक निजी पहचान कुंजी जो कभी एक मशीन से बाहर नहीं जानी चाहिए थी, या एक साझा नियंत्रण-चैनल रहस्य जिसे दोनों सिरों को रखना ज़रूरी है। मरम्मत, तात्कालिकता और नुकसान का दायरा हर मामले में अलग है, इसलिए पहला काम वर्गीकरण है, कार्रवाई नहीं। श्रेणी ग़लत होने पर हर अगला कदम व्यर्थ श्रम है।

फ़ाइल नाम से नहीं, निर्देश से शुरू करें

सक्रिय कॉन्फ़िगरेशन पढ़ें और देखें कि कौन-सा निर्देश संबंधित सामग्री की ओर इशारा करता है। OpenVPN के TLS विकल्प भरोसेमंद प्रमाणपत्र सामग्री के लिए ca, स्थानीय पीयर के प्रमाणपत्र के लिए cert और उससे जुड़ी निजी कुंजी के लिए key का उपयोग करते हैं।

फ़ाइल नाम कुछ सिद्ध नहीं करते। key.pem नाम की फ़ाइल में प्रमाणपत्र हो सकता है, और प्रोफ़ाइल में अंतर्निहित ब्लॉक में डिस्क पर अलग फ़ाइल जैसी ही वस्तु हो सकती है। नाम पर भरोसा करने के बजाय फ़ाइल खोलें और उसका हेडर देखें। यह एक जाँच रिपोर्ट की अधिकांश अस्पष्टता हटा देती है।

अगर प्रोफ़ाइल PKCS#12 बंडल है, तो उसे नियंत्रित जगह पर खोलकर देखें कि उसमें वास्तव में क्या है। एक ही बंडल में प्रमाणपत्र, उसकी श्रृंखला और निजी कुंजी हो सकती है, यानी बंडल का लीक तीनों का लीक है।

किसी के भी फ़ाइल बदलने से पहले वर्गीकरण लिख लें: वस्तु, निर्देश, कौन-से पीयर इसे रखते हैं और कौन इसे पढ़ सकता है। बाकी पूरा उत्तर इसी वाक्य पर टिका है।

CA प्रमाणपत्र साझा करने के लिए बनाया गया है

सार्वजनिक CA प्रमाणपत्र भरोसे की सामग्री है। सर्वर सत्यापित करने के लिए क्लाइंट को इसकी ज़रूरत होती है, और इसे बाँटना सामान्य स्थिति है, घटना नहीं। इसे प्रकाशित करने से CA की निजी हस्ताक्षर कुंजी प्रकाशित नहीं होती, और हमलावर को नई पहचान बनाने की सुविधा देने वाली वस्तु वही है।

यह अंतर टिकट में स्पष्ट रूप से लिखने योग्य है, क्योंकि दोनों को लगातार मिला दिया जाता है। जिस प्रश्न का उत्तर देना है वह यह है कि लीक हुई फ़ाइल प्रमाणपत्र है या हस्ताक्षर कुंजी, और फ़ाइल की सामग्री पर एक नज़र इसे तय कर देती है। प्रमाणपत्र में सार्वजनिक कुंजी और हस्ताक्षर होते हैं; हस्ताक्षर कुंजी उसमें बिल्कुल नहीं दिखती।

वितरण में अब भी सावधानी चाहिए। क्लाइंट को प्रमाणपत्र स्वीकृत प्रोफ़ाइल-वितरण मार्ग से मिलना चाहिए, किसी पेस्ट साइट से नहीं, और असुरक्षित मार्ग से आया प्रमाणपत्र रास्ते में बदला जा सकता है।

पीयर कुंजी और tls-auth रहस्य एक नहीं हैं

पीयर की निजी कुंजी पहचान-सामग्री है। एक बार कॉपी हो जाने पर सर्वर इच्छित डिवाइस को कॉपी रखने वाले किसी भी व्यक्ति से अलग नहीं पहचान सकता, क्योंकि अनन्य कब्ज़ा ही वह गुण था जो सिद्ध किया जा रहा था। अनुमति जारी रखना और प्रतिस्थापन VPN मालिक के निर्णय हैं, फ़ाइल खोजने वाले के नहीं।

tls-auth रहस्य तीसरी चीज़ है। यह नियंत्रण-चैनल पैकेटों के चारों ओर HMAC प्रमाणीकरण जोड़ता है ताकि गलत तरीके से प्रमाणित पैकेट TLS विनिमय से पहले ही हटा दिए जाएँ, और यह न पीयर की निजी कुंजी है और न ही एप्लिकेशन डेटा को एन्क्रिप्ट करने वाली कुंजी।

अगर वह साझा रहस्य सार्वजनिक है, तो उसने जो अवरोध दिया था वह उसके पास रखने वाले हर व्यक्ति के लिए चला गया। इससे यह नहीं निकलता कि हर धारक उसके पीछे की प्रमाणपत्र और उपयोगकर्ता जाँचें पास करता है, इसीलिए वर्गीकरण अलार्म स्तर से अधिक मायने रखता है। कहें कौन-सा अवरोध गिरा, और कहें कौन-से बचे हैं।

जो भूमिका लीक हुई उसकी मरम्मत करें, पड़ोसी की नहीं

फ़ाइल का नाम बदलकर या डाउनलोड लिंक छिपाकर साझा रहस्य को फिर से निजी नहीं बनाया जा सकता। प्रतिस्थापन का अर्थ है नया मान बनाकर समन्वित बदलाव में हर पीयर तक पहुँचाना, और केवल एक पक्ष बदलने से पुराना मान रखने वाले सबके लिए व्यवस्था टूट जाती है।

अगर किसी पीयर की पहचान उजागर हुई है, तो उस पहचान के लिए ऑपरेटर की रद्दीकरण और पुनः-नामांकन प्रक्रिया अपनाएँ। किसी असंबंधित खाते का पासवर्ड बदलने से कॉपी किया गया प्रमाणपत्र अमान्य नहीं होता, और tls-auth फ़ाइल बदलने से भी नहीं।

किसी भी बात पर भरोसा करने से पहले पुष्टि करें कि तैनात सर्वर वास्तव में क्या लागू करता है। जो रद्दीकरण सूची ताज़ा नहीं होती, या जो भूमिका-जाँच बाधा के दौरान बंद कर दी गई थी, वह उत्तर पूरी तरह बदल देती है। रिपॉज़िटरी की प्रति नहीं, चालू कॉन्फ़िगरेशन पढ़ें।

पिछले ट्रैफ़िक का उसकी अपनी शर्तों पर आकलन करें

उजागर फ़ाइल अपने आप यह नहीं बताती कि पहले पकड़े गए सत्र डिक्रिप्ट किए जा सकते हैं या नहीं। यह कुंजी-स्थापना विधि, उजागर सामग्री और इस पर निर्भर करता है कि कौन-से रिकॉर्ड मौजूद हैं, और ‘सारा ट्रैफ़िक चला गया’ तथा ‘कुछ नहीं हुआ’—दोनों उन तथ्यों के बिना अनुमान हैं।

यह पूछते समय कि क्रेडेंशियल किस श्रेणी में है, उसकी एक और प्रति पोस्ट न करें। इसके बजाय स्वीकृत सहायता मार्ग से निर्देशों के नाम और गैर-गोपनीय मेटाडेटा साझा करें।

उपयोगी निष्कर्ष वस्तु, उसकी भूमिका, खोई सुरक्षा और आवश्यक समन्वित कार्रवाई का नाम लेता है। इससे छोटा कुछ शीर्षक है, मूल्यांकन नहीं।