OpenSSL में SHA1 डाइजेस्ट नाम: पुरानी सूची का क्या अर्थ है

पुरानी डाइजेस्ट सूचियाँ क्रिप्टोग्राफ़िक निर्णयों की ट्रांसक्रिप्ट की तरह पढ़ी जाती हैं, और वे वैसी हैं नहीं। SHA1, DSA-SHA1-old या RSA-SHA1-2 जैसे नाम पुराने OpenSSL बिल्ड में एक-दूसरे के बगल में बैठते हैं क्योंकि लाइब्रेरी ने संबंधित हैश मशीनरी के आसपास कई प्रवेश बिंदु पंजीकृत किए थे। उस सूची में RSA या DSA लेबल इस बारे में कुछ नहीं कहता कि OpenVPN ने पैकेट के साथ क्या किया। आप जो पढ़ रहे हैं वह लाइब्रेरी की सूची है, किसी सत्र का रिकॉर्ड नहीं।

किसी भी निष्कर्ष का अर्थ निकलने से पहले तीन चीज़ें अलग करनी होंगी: पंजीकृत नाम, उसके नीचे की डाइजेस्ट गणना और उसे खपाने वाली क्रिया।

रजिस्ट्रेशन एक इंटरफ़ेस है, ताकत का रेटिंग नहीं

OpenSSL 1.0.2 में डाइजेस्ट रजिस्ट्रेशन तालिका नामों, उपनामों और कार्यान्वयनों को एक ही फ़ाइल में जोड़ती है। पुराना DSS1 विवरण सबसे स्पष्ट मामला है: यह SHA-1 की आउटपुट लंबाई बताता है और SHA-1 की फ़ाइनलाइज़ेशन रूटीन को कॉल करता है, जबकि ऐसा नाम रखता है जो बिल्कुल अलग अल्गोरिद्म का संकेत देता है। इसलिए रजिस्ट्रेशन में अतिरिक्त अक्षर अलग हैश, लंबा आउटपुट या नया सुरक्षा स्तर नहीं दर्शाते।

यही स्रोत पुराने कॉलरों के लिए उपनाम संबंध सुरक्षित रखता है, जिससे समझ आता है कि सूची भरी हुई क्यों दिखती है। यह अनुकूलता का दस्तावेज़ीकरण है, वर्तमान OpenSSL प्रदाता के समान नाम देने का वादा नहीं।

हस्ताक्षर नाम हस्ताक्षर नहीं बनाते

एक हस्ताक्षर ढाँचा डाइजेस्ट को दूसरे अल्गोरिद्म के इंटरफ़ेस से बाँध सकता है ताकि मौजूदा कॉलर कंपाइल होते रहें। असली सार्वजनिक-कुंजी हस्ताक्षर के लिए कुंजी और उसे इस्तेमाल करने वाला हस्ताक्षर चरण दोनों चाहिए, और मेनू में कोई नाम इनमें से एक भी नहीं देता। RSA रंग वाली डाइजेस्ट प्रविष्टि एक ऐसा नाम है जिसे कॉलर इस्तेमाल कर सकता है, यह सबूत नहीं कि हर VPN पैकेट में RSA हस्ताक्षर था।

इसी चरण पर पुराने लेख लोककथा में फिसल जाते हैं। अगर आपको जानना है कि पैकेट कैसे प्रमाणित हुए, तो वह विकल्प खोजें जिसने तंत्र चुना और पढ़ें कि वह उस संस्करण में क्या करता है जो आप वास्तव में चलाते हैं। उस रिलीज़ के साथ आया मैनुअल पृष्ठ ही एकमात्र विवरण है जो आपके सामने के प्रोग्राम से मेल खाता है। संग्रहीत गाइड उस रिलीज़ का वर्णन करते हैं जिसके लिए वे लिखे गए थे, और वह कई नामकरण परंपराएँ पीछे हो सकती है।

वह विकल्प खोजें जिसने नाम खपाया

OpenVPN 2.6 द्वारा प्रलेखित पैकेट-प्रमाणीकरण मामले में, auth ऐसा डाइजेस्ट चुनता है जिसका उपयोग HMAC करता है, यह प्रमाणपत्र हस्ताक्षर नहीं बल्कि कुंजीयुक्त संदेश-प्रमाणीकरण संरचना है। TLS प्रमाणपत्र का हस्ताक्षर अल्गोरिद्म हैंडशेक का अलग गुण है।

AEAD डेटा साइफर के साथ अलग auth सेटिंग डेटा चैनल पर लागू होना बंद कर देती है, जबकि tls-auth के लिए इसकी भूमिका अलग प्रश्न बनी रहती है। इसलिए डाइजेस्ट सूची आपको नहीं बता सकती कि कौन-सा हैश मौजूदा पैकेट की रक्षा कर रहा था, कौन-सा TLS सेट बातचीत में तय हुआ या साथी का प्रमाणपत्र कैसे हस्ताक्षरित हुआ। केवल प्रभावी कॉन्फ़िगरेशन और संस्करण ही इसका उत्तर दे सकते हैं, और केवल आपके सामने के कनेक्शन के लिए।

जो वास्तव में आपके पास है वह लिखें

OpenVPN संस्करण, जुड़ी क्रिप्टो लाइब्रेरी, प्रोफ़ाइल में सटीक विकल्प और वास्तविक कनेक्शन का परिणाम लिखें। यह समूह उन सवालों का जवाब देता है जो डाइजेस्ट मेनू का स्क्रीनशॉट नहीं दे सकता, और अगले अपग्रेड के बाद भी टिका रहता है क्योंकि यह छापों के बजाय संस्करणों के नाम लेता है।

सबसे बढ़कर, पुराना उपनाम इसलिए न चुनें कि उसका नाम ज़्यादा मज़बूत या ज़्यादा विशिष्ट लगता है। पूरे कनेक्शन के लिए समर्थित नीति चुनें, और पुराने नामों को इस बात के रिकॉर्ड की तरह देखें कि लाइब्रेरी पहले खुद को कैसे प्रस्तुत करती थी।