Արդյո՞ք այդ հրապարակված OpenVPN բանալին CA է, զուգընկերոջ բանալի, թե՞ tls-auth

Ինչ-որ մեկը հայտնում է, որ VPN բանալին հրապարակային է, և այս նախադասությունը թաքցնում է երեք բոլորովին տարբեր իրավիճակներ։ Դա կարող է լինել CA վկայական, որը պետք է ունենա յուրաքանչյուր հաճախորդ, մասնավոր ինքնության բանալի, որը երբեք չպետք է լքեր մեկ մեքենա, կամ կառավարման ալիքի ընդհանուր գաղտնիք, որը պետք է պահեն երկու կողմերը։ Վերանորոգումը, հրատապությունը և վնասի ծավալը տարբերվում են յուրաքանչյուր դեպքում, ուստի առաջին խնդիրը դասակարգումն է, ոչ թե գործողությունը։ Եթե կատեգորիան սխալ լինի, ապա յուրաքանչյուր հաջորդ քայլ վատնված ջանք է։

Սկսեք հրահանգից, ոչ թե ֆայլի անունից

Կարդացեք ակտիվ կոնֆիգուրացիան և գտեք, թե որ հրահանգն է մատնանշում տվյալ նյութին։ OpenVPN-ի TLS ընտրանքները օգտագործում են ca վստահելի վկայագրի նյութի համար, cert տեղական զուգընկերոջ վկայագրի համար և key դրան պատկանող մասնավոր բանալու համար։

Ֆայլերի անունները ոչինչ չեն ապացուցում։ key.pem անունով ֆայլը կարող է պարունակել վկայագիր, և պրոֆիլում ներկառուցված բլոկը կարող է պարունակել ճիշտ նույն օբյեկտը, ինչ սկավառակի վրա առանձին ֆայլը։ Բացեք ֆայլը և նայեք դրա վերնագրին՝ անվանը վստահելու փոխարեն։ Այդ մեկ ստուգումը վերացնում է հաշվետվության անորոշության մեծ մասը։

Եթե պրոֆիլը PKCS#12 փաթեթ է, ապա բացեք այն վերահսկվող վայրում՝ տեսնելու, թե իրականում ինչ է պարունակում։ Մեկ փաթեթը կարող է կրել վկայագիր, դրա շղթան և մասնավոր բանալի, ինչը նշանակում է, որ փաթեթի արտահոսքը բոլոր երեքի արտահոսքն է։

Գրի առեք դասակարգումը մինչև ինչ-որ մեկը ֆայլ փոխի՝ օբյեկտ, հրահանգ, որ զուգընկերներն են այն պահում և ով կարող է կարդալ այն։ Պատասխանի մնացած մասը կախված է հենց այդ նախադասությունից։

CA վկայագիրը նախատեսված է կիսվելու համար

Հրապարակային CA վկայագիրը վստահության նյութ է։ Հաճախորդներին այն պետք է սերվերը ստուգելու համար, և դրա տարածումը սովորական դեպք է, ոչ թե միջադեպ։ Այն հրապարակելը չի հրապարակում CA-ի մասնավոր ստորագրման բանալին, և հենց այդ օբյեկտն է, որը թույլ կտար հարձակվողին ստեղծել նոր ինքնություններ։

Այս տարբերությունը արժե հստակ նշել տոմսում, որովհետև երկուսը անընդհատ շփոթում են։ Պատասխանելիք հարցն այն է՝ արդյոք արտահոսած ֆայլը վկայագիրն է, թե ստորագրման բանալին, և ֆայլի բովանդակությանը արագ հայացքը լուծում է դա։ Վկայագիրը կրում է հրապարակային բանալի և ստորագրություն, իսկ ստորագրման բանալին ընդհանրապես չի հայտնվում դրանում։

Տարածումը դեռ արժանի է զգուշության։ Հաճախորդները պետք է վկայագիրը ստանան պրոֆիլների առաքման հաստատված ուղով, ոչ թե փակցնելու կայքից, և անվստահելի ուղով ժամանած վկայագիրը կարող է փոխարինվել ճանապարհին։

Զուգընկերոջ բանալին և tls-auth գաղտնիքը չեն

Զուգընկերոջ մասնավոր բանալին ինքնության նյութ է։ Հենց այն պատճենվի, սերվերն այլևս չի կարող տարբերել նախատեսված սարքը նրանից, ով ունի պատճենը, որովհետև բացառիկ տիրապետումը հենց այն հատկությունն էր, որը ցուցադրվում էր։ Հեղինակազորման շարունակությունը և փոխարինումը VPN-ի սեփականատիրոջ որոշումներն են, ոչ թե նրա, ով գտել է ֆայլը։

tls-auth գաղտնիքը երրորդ բանն է։ Այն ավելացնում է HMAC նույնականացում կառավարման ալիքի փաթեթների շուրջ, որպեսզի սխալ նույնականացված փաթեթները դեն նետվեն TLS փոխանակումից առաջ, և այն ոչ զուգընկերոջ մասնավոր բանալին է, ոչ էլ հավելվածի տվյալները գաղտնագրող բանալին։

Եթե այդ ընդհանուր գաղտնիքը հրապարակային է, ապա դրա տրամադրած արգելքը վերացել է բոլորի համար, ով ունի այն։ Դրանից չի հետևում, որ յուրաքանչյուր տեր անցնում է դրա հետևում գտնվող վկայագրի և օգտատիրոջ ստուգումները, և հենց դրա համար դասակարգումը ավելի կարևոր է, քան ահազանգի մակարդակը։ Ասեք, թե որ արգելքն ընկավ, և ասեք, թե որոնք մնացին։

Վերանորոգեք արտահոսած դերը, ոչ թե հարևանը

Ընդհանուր գաղտնիքը հնարավոր չէ կրկին մասնավոր դարձնել ֆայլը վերանվանելով կամ ներբեռնման հղումը թաքցնելով։ Փոխարինումը նշանակում է ստեղծել նոր արժեք և համակարգված փոփոխությամբ այն տարածել յուրաքանչյուր զուգընկերոջ, և միայն մեկ կողմ փոխարինելը խախտում է պայմանավորվածությունը բոլորի համար, ովքեր դեռ ունեն հին արժեքը։

Եթե զուգընկերոջ ինքնությունը բացահայտվել է, օգտագործեք օպերատորի չեղարկման և վերագրանցման գործընթացը այդ ինքնության համար։ Չկապված հաշվի գաղտնաբառի փոփոխությունը չի անվավերացնում պատճենված վկայագիրը, և tls-auth ֆայլի փոխարինումը նույնպես չի անում։

Հաստատեք, թե տեղակայված սերվերն իրականում ինչ է պարտադրում, նախքան այս ամենից որևէ մեկին ապավինելը։ Չթարմացվող չեղարկման ցանկը կամ ընդհատման ընթացքում անջատված դերի ստուգումը ամբողջությամբ փոխում են պատասխանը։ Կարդացեք աշխատող կոնֆիգուրացիան, ոչ թե պահոցի պատճենը։

Գնահատեք անցյալ թրաֆիկը իր իսկ պայմաններով

Բացահայտված ֆայլն ինքնին չի ասում՝ հնարավոր է արդյոք վերծանել նախկինում որսված սեսիաները։ Դա կախված է բանալու ստեղծման եղանակից, բացահայտված նյութից և նրանից, թե ինչ գրառումներ կան, և թե՛ «ամբողջ թրաֆիկը կորել է», թե՛ «ոչինչ չի պատահել» ենթադրություններ են առանց այդ փաստերի։

Մի՛ հրապարակեք հավատարմագրի ևս մեկ պատճեն, մինչ հարցնում եք, թե որ կատեգորիային է այն պատկանում։ Փոխարենը կիսվեք հրահանգների անուններով և ոչ գաղտնի մետատվյալներով հաստատված աջակցության ուղով։

Օգտակար եզրակացությունը նշում է օբյեկտը, նրա դերը, կորցրած պաշտպանությունը և պահանջվող համակարգված գործողությունը։ Դրանից կարճ ամեն ինչ վերնագիր է, ոչ թե գնահատում։