Ez a közzétett OpenVPN-kulcs CA, partnerkulcs vagy tls-auth?

Valaki jelenti, hogy a VPN-kulcs nyilvános, és ez a mondat három teljesen különböző helyzetet rejt. Lehet olyan CA-tanúsítvány, amelynek minden kliensnél lennie kell, olyan privát identitáskulcs, amelynek soha nem lett volna szabad elhagynia egyetlen gépet, vagy egy megosztott vezérlőcsatorna-titok, amelyet mindkét félnek tartania kell. A javítás, a sürgősség és a kár mértéke minden esetben más, ezért az első feladat a besorolás, nem a cselekvés. Ha rossz a kategória, minden további lépés kárba veszett erőfeszítés.

A direktívától indulj, ne a fájlnévtől

Olvasd el az aktív konfigurációt, és keresd meg, melyik direktíva mutat a kérdéses anyagra. Az OpenVPN TLS-beállításai ca-t használnak a megbízható tanúsítványanyaghoz, cert-t a helyi partner tanúsítványához és key-t a hozzá tartozó privát kulcshoz.

A fájlnevek semmit sem bizonyítanak. Egy key.pem nevű fájl tartalmazhat tanúsítványt, és a profilba ágyazott blokk pontosan ugyanazt az objektumot tartalmazhatja, mint egy külön fájl a lemezen. Nyisd meg a fájlt, és nézd meg a fejlécét ahelyett, hogy a névben bíznál. Ez az egyetlen ellenőrzés eltünteti a jelentés bizonytalanságának nagy részét.

Ha a profil PKCS#12-csomag, csomagold ki ellenőrzött helyen, hogy lásd, mi van benne valójában. Egyetlen csomag hordozhat tanúsítványt, annak láncát és privát kulcsot, ami azt jelenti, hogy a csomag szivárgása mindhárom szivárgása.

Írd le a besorolást, mielőtt bárki fájlt módosít: objektum, direktíva, mely partnerek tartják, és ki olvashatja. A válasz többi része ezen a mondaton múlik.

A CA-tanúsítvány megosztásra készült

A nyilvános CA-tanúsítvány bizalmi anyag. A klienseknek szükségük van rá a szerver ellenőrzéséhez, és a terjesztése a normál eset, nem incidens. A közzététele nem teszi közzé a CA privát aláírókulcsát, és éppen az az objektum az, amely lehetővé tenné egy támadó számára új identitások létrehozását.

Ezt a különbséget érdemes kifejezetten leírni a jegyben, mert a kettőt folyton összekeverik. A megválaszolandó kérdés az, hogy a kiszivárgott fájl a tanúsítvány-e vagy az aláírókulcs, és a fájl tartalmába vetett gyors pillantás eldönti. A tanúsítvány nyilvános kulcsot és aláírást hordoz; az aláírókulcs egyáltalán nem jelenik meg benne.

A terjesztés azért igényel gondosságot. A klienseknek a jóváhagyott profilkézbesítési úton kell megszerezniük a tanúsítványt, nem egy beillesztőoldalról, és a nem megbízható úton érkező tanúsítvány útközben kicserélhető.

A partnerkulcs és a tls-auth titok nem

A partner privát kulcsa identitásanyag. Miután lemásolták, a szerver már nem tudja megkülönböztetni a szánt eszközt attól, aki a másolatot birtokolja, mert a kizárólagos birtoklás volt az a tulajdonság, amelyet bizonyítottak. A további engedélyezés és a csere a VPN tulajdonosának döntése, nem azé, aki megtalálta a fájlt.

A tls-auth titok a harmadik dolog. HMAC-hitelesítést ad a vezérlőcsatorna-csomagok köré, hogy a helytelenül hitelesített csomagok még egy TLS-csere előtt eldobódjanak, és nem a partner privát kulcsa, és nem is az alkalmazásadatokat titkosító kulcs.

Ha ez a megosztott titok nyilvános, az általa nyújtott korlát eltűnt mindenki számára, akinél megvan. Ebből nem következik, hogy minden birtokos átmegy a mögötte lévő tanúsítvány- és felhasználóellenőrzéseken, ezért a besorolás fontosabb a riasztási szintnél. Mondd meg, melyik korlát dőlt le, és mondd meg, melyek maradtak.

A kiszivárgott szerepet javítsd, ne egy szomszédosat

A megosztott titok nem tehető újra priváttá a fájl átnevezésével vagy a letöltési hivatkozás elrejtésével. A csere azt jelenti, hogy új értéket állítunk elő, és koordinált változtatásban eljuttatjuk minden partnerhez, és csak az egyik oldal cseréje mindenkinek felborítja a megállapodást, akinél még a régi érték van.

Ha egy partner identitása nyilvánosságra került, használd az üzemeltető visszavonási és újraregisztrálási folyamatát arra az identitásra. Egy nem kapcsolódó fiók jelszavának megváltoztatása nem érvénytelenít egy másolt tanúsítványt, és a tls-auth fájl cseréje sem.

Erősítsd meg, mit kényszerít ki valójában a telepített szerver, mielőtt bármelyikre támaszkodnál. Egy nem frissített visszavonási lista vagy egy kimaradás alatt letiltott szerepkör-ellenőrzés teljesen megváltoztatja a választ. A futó konfigurációt olvasd, ne a tárolóbeli másolatot.

A múltbeli forgalmat a saját feltételei szerint ítéld meg

Egy nyilvánosságra került fájl önmagában nem mondja meg, hogy a korábban rögzített munkamenetek visszafejthetők-e. Ez a kulcs-létrehozási módszertől, a nyilvánosságra került anyagtól és a létező naplóktól függ, és mind a „minden forgalom elveszett”, mind a „semmi sem történt” találgatás e tények nélkül.

Ne tegyél közzé újabb példányt a hitelesítő adatokból, miközben azt kérdezed, melyik kategóriába tartozik. Helyette a jóváhagyott támogatási úton oszd meg a direktívák nevét és a nem titkos metaadatokat.

A hasznos következtetés megnevezi az objektumot, a szerepét, az elveszett védelmet és a szükséges koordinált műveletet. Minden ennél rövidebb cím, nem értékelés.