openssl dhparam -check क्या जाँचता है और क्या छोड़ देता है

dhparam -check पास करना आपके VPN के Diffie-Hellman सेटअप पर फ़ैसले जैसा लगता है। ऐसा नहीं है। कमांड एक पैरामीटर फ़ाइल की तुलना उस अंकगणित से करता है जिसे वह पूरा करने का दावा करती है, और यह नहीं बताता कि समूह का आकार आपकी नीति से मेल खाता है या नहीं या टनल उस फ़ाइल को लोड भी करती है या नहीं। इसे सुरक्षा समीक्षा के रूप में पढ़ना वह धारणा है जिसे पहले सुधारना चाहिए।

पैरामीटर फ़ाइल में एक अभाज्य संख्या और एक जनरेटर होता है। वैधता उन संख्याओं का गुण है, जबकि मज़बूती आपके खतरे के मॉडल और आपके साथियों के बारे में एक निर्णय है, और दोनों बदले नहीं जा सकते।

वैधता जाँच वास्तव में क्या पुष्ट करती है

जो फ़ाइल आपके पास है उस पर जाँच चलाएँ और जवाब पढ़ें। openssl dhparam -in dh.pem -check -noout पैरामीटर जाँचें करता है और एन्कोडेड आउटपुट को दबा देता है। यह संदेश कि पैरामीटर ठीक लगते हैं, का अर्थ है कि मान संरचनात्मक रूप से सुसंगत हैं; इसका अर्थ यह नहीं है कि छोटा समूह आपके वातावरण में स्वीकार्य है।

-dsaparam के बिना निर्माण सुरक्षित अभाज्य संख्याएँ देता है, जहाँ (p-1)/2 भी अभाज्य होता है, इसीलिए इसमें इतना समय लगता है। DSA शैली का मार्ग पैरामीटर तेज़ी से बनाता है और उन्हें DH रूप में बदलता है, और OpenSSL मैनुअल उनके उपयोग के साथ ताज़ा कुंजियों की अतिरिक्त शर्तें जोड़ता है। दोनों में से कोई भी निर्माण सत्र का रहस्य नहीं है: फ़ाइल सार्वजनिक कॉन्फ़िगरेशन सामग्री है, प्रमाणपत्र की निजी कुंजी नहीं और नियंत्रण चैनल का साझा रहस्य नहीं।

फ़ाइल का फ़ैसला करने से पहले आकार और जनरेटर पढ़ें

वैधता का परिणाम तब अधिक अर्थ रखता है जब आप जानते हैं कि क्या सत्यापित हुआ। openssl dhparam -in dh.pem -text -noout से पैरामीटर प्रिंट करें, फिर अभाज्य की लंबाई और जनरेटर का मान नोट करें।

उस लंबाई की तुलना आदत से नहीं, लिखित नीति से करें। यदि आपकी आवश्यकता आधुनिक TLS स्टैक का स्वीकृत नामित समूह है, तो हाथ से बनाई गई फ़ाइल पूरी तरह गलत कलाकृति हो सकती है। दोनों संख्याएँ परिवर्तन रिकॉर्ड में लिखें ताकि अगले समीक्षक को उन्हें फिर से निकालना न पड़े।

जाँच को पुनर्निर्माण में न बदलें

यहाँ विफलता का तरीका ऐसा कमांड है जो जाँच जैसा दिखता है और जनरेटर जैसा व्यवहार करता है। बिट लंबाई जोड़ना, जैसे openssl dhparam -check 2048, नए पैरामीटर माँगता है और इनपुट फ़ाइल अनदेखी कर दी जाती है। जनरेटर विकल्प भी वही कर सकता है। यदि आप केवल निरीक्षण करना चाहते थे, तो -in और -check दें और आकार बताने वाला कुछ न दें।

मूल पथ पर आउटपुट लिखना उसी संदेह का पात्र है, क्योंकि मैनुअल चेतावनी देता है कि फ़ाइल आउटपुट परमाणु नहीं है। लिखते समय क्रैश कटी हुई पैरामीटर फ़ाइल और ऐसी सेवा छोड़ जाता है जो शुरू नहीं होगी।

समूह को प्रोटोकॉल से मिलाएँ, किसी चलन से नहीं

आकार की नीति ऐसा निर्णय है जिसे उपकरण आपके लिए नहीं पढ़ सकता। 2048 बिट का परिमित-क्षेत्र समूह एक सामान्य निचली सीमा है और बड़े समूह हैंडशेक का समय लेते हैं, इसलिए वही संख्या चुनें जो आपकी अपनी आधार-रेखा कहती है और उसे लिख लें। व्यापक रूप से उपयोग किए जाने वाले समूह सार्वजनिक होने के कारण कमज़ोर नहीं हैं; अस्पष्टता यहाँ कुछ नहीं जोड़ती।

जहाँ स्टैक स्वीकृत नामित समूहों का समर्थन करता है, वहाँ अनोखा दिखाने के लिए असामान्य पैरामीटर बनाने के बजाय उस प्रलेखित व्यवस्था का पालन करें। नामित समूह ऐसी चीज़ है जिसे साथी पहचान सके और समीक्षक खोज सके, जो ऐसी अनुकूलित फ़ाइल से अधिक मूल्यवान है जिसे कोई वर्गीकृत नहीं कर सकता।

पुष्टि करें कि VPN फ़ाइल लोड करता है

सही पैरामीटर फ़ाइल जिसे कोई प्रक्रिया नहीं पढ़ती, कुछ नहीं बदलती। OpenVPN में सर्वर निर्देश पथ के साथ dh है, और ECDH या TLS 1.3 कुंजी विनिमय पर निर्भर तैनातियाँ इसके बजाय dh none सेट कर सकती हैं। टेम्पलेट नहीं, चल रही कॉन्फ़िगरेशन जाँचें, फिर पुष्टि करें कि क्लाइंट और साथी उसी निर्माण पर सहमत होते हैं।

उन सबूतों के साथ चक्र बंद करें जो वास्तव में आपको चाहिए: वह समूह जिस पर टनल ने बातचीत की, फ़ाइल में पैरामीटर की लंबाई, और वह नीति पंक्ति जिसे यह लंबाई पूरा करती है। पास हुई जाँच उस सूची में एक मद है। इसे पूरा उत्तर मानना वही तरीका है जिससे छोटा समूह उस ऑडिट से बच जाता है जो उसे पकड़ने वाला था।