Ինչ է ստուգում openssl dhparam -check-ը և ինչ բաց է թողնում

dhparam -check-ը հանձնելը թվում է որպես ձեր VPN-ի Diffie-Hellman կարգաբերման դատավճիռ։ Այդպես չէ։ Հրամանը համեմատում է մեկ պարամետրային ֆայլ այն թվաբանության հետ, որը նա պնդում է, թե բավարարում է, և ոչինչ չի ասում այն մասին, թե արդյոք խմբի չափը համապատասխանում է ձեր քաղաքականությանը կամ արդյոք թունելը ընդհանրապես բեռնում է այդ ֆայլը։ Այն որպես անվտանգության աուդիտ կարդալը այն ենթադրությունն է, որն արժե առաջինը ուղղել։

Պարամետրային ֆայլը պարունակում է պարզ թիվ և գեներատոր։ Վավերականությունը այդ թվերի հատկությունն է, մինչդեռ ուժը ձեր սպառնալիքների մոդելի և գործընկերների մասին դատողություն է, և երկուսը փոխանակելի չեն։

Ինչ է իրականում հաստատում վավերականության ստուգումը

Գործարկեք ստուգումը ձեր ունեցած ֆայլի վրա և կարդացեք պատասխանը։ openssl dhparam -in dh.pem -check -noout կատարում է պարամետրերի ստուգումները և ճնշում կոդավորված ելքը։ Հաղորդագրությունը, թե պարամետրերը կարծես թե կարգին են, նշանակում է, որ արժեքները կառուցվածքային առումով համահունչ են․ այն չի նշանակում, որ կարճ խումբը ընդունելի է ձեր միջավայրում։

Առանց -dsaparam-ի գեներացումը տալիս է անվտանգ պարզ թվեր, որտեղ (p-1)/2-ը նույնպես պարզ է, դրա համար է այն այդքան երկար տևում։ DSA ոճի ուղին ավելի արագ է կառուցում պարամետրերը և դարձնում դրանք DH ձևի, և OpenSSL ձեռնարկը դրանց օգտագործմանը կցում է թարմ բանալիների լրացուցիչ պահանջներ։ Կոնստրուկցիաներից ոչ մեկը սեսիայի գաղտնիք չէ․ ֆայլը հանրային կարգաբերման նյութ է, ոչ վկայագրի մասնավոր բանալին և ոչ կառավարման ալիքի ընդհանուր գաղտնիքը։

Կարդացեք չափը և գեներատորը, նախքան ֆայլը գնահատելը

Վավերականության արդյունքը ավելի շատ բան է նշանակում, երբ գիտես, թե ինչ է ստուգվել։ Տպեք պարամետրերը openssl dhparam -in dh.pem -text -noout-ով, ապա նշեք պարզ թվի երկարությունը և գեներատորի արժեքը։

Համեմատեք այդ երկարությունը գրավոր քաղաքականության հետ, ոչ թե սովորության։ Եթե ձեր պահանջը ժամանակակից TLS կույտի հաստատված անվանված խումբ է, ձեռքով գեներացված ֆայլը կարող է լրիվ սխալ արտեֆակտ լինել։ Գրանցեք երկու թվերն էլ փոփոխությունների մատյանում, որպեսզի հաջորդ վերանայողը ստիպված չլինի նորից դրանք ածանցել։

Մի դարձրեք ստուգումը վերագեներացում

Այստեղ ձախողման ռեժիմը հրաման է, որը ստուգման տեսք ունի և գեներատորի պես է վարվում։ Բիթային երկարություն ավելացնելը, ինչպես openssl dhparam -check 2048-ում, պահանջում է նոր պարամետրեր, և մուտքային ֆայլը անտեսվում է։ Գեներատորի ընտրանքը կարող է նույնն անել։ Եթե միայն զննել էիք ուզում, տվեք -in և -check և ոչինչ, ինչ չափ է նկարագրում։

Ելքը սկզբնական ուղու վրա գրելը նույն կասկածին է արժանի, որովհետև ձեռնարկը զգուշացնում է, որ ֆայլային ելքը ատոմային չէ։ Գրելու ընթացքում վթարը թողնում է կտրված պարամետրային ֆայլ և ծառայություն, որը չի մեկնարկի։

Խումբը համապատասխանեցրեք արձանագրությանը, ոչ թե միտումին

Չափի քաղաքականությունը որոշում է, որը գործիքը չի կարող ձեր փոխարեն կարդալ։ 2048 բիթ վերջավոր դաշտի խումբը սովորական ստորին սահման է, և ավելի մեծ խմբերը ձեռքսեղմման ժամանակ են արժենում, ուստի ընտրեք այն թիվը, որը նշում է ձեր սեփական բազային գիծը, և գրեք այն։ Լայնորեն օգտագործվող խմբերը թույլ չեն, որովհետև հանրային են․ անհայտությունը այստեղ ոչինչ չի ավելացնում։

Այնտեղ, որտեղ կույտը աջակցում է հաստատված անվանված խմբերին, հետևեք այդ փաստաթղթավորված դասավորությանը, փոխանակ անսովոր պարամետրեր գեներացնեք, որպեսզի դրանք եզակի թվան։ Անվանված խումբը մի բան է, որը գործընկերը կարող է ճանաչել, իսկ վերանայողը՝ որոնել, ինչն ավելի արժեքավոր է, քան պատվերով ֆայլը, որը ոչ ոք չի կարող դասակարգել։

Հաստատեք, որ VPN-ը ընդհանրապես բեռնում է ֆայլը

Ճիշտ պարամետրային ֆայլը, որը ոչ մի գործընթաց չի կարդում, ոչինչ չի փոխում։ OpenVPN-ում սերվերի հրահանգը ուղու հետ dh-ն է, և ECDH-ի կամ TLS 1.3 բանալիների փոխանակման վրա հիմնված տեղակայումները կարող են փոխարենը սահմանել dh none։ Ստուգեք աշխատող կարգաբերումը, ոչ թե ձևանմուշը, ապա հաստատեք, որ հաճախորդներն ու գործընկերները բանակցում են նույն կոնստրուկցիան։

Փակեք շրջանակը այն ապացույցներով, որոնք իսկապես պետք են․ այն խումբը, որի շուրջ թունելը բանակցել է, ֆայլում պարամետրերի երկարությունը և քաղաքականության այն տողը, որը այդ երկարությունը բավարարում է։ Հանձնված ստուգումը այդ ցանկում մեկ կետ է։ Այն որպես ամբողջ պատասխան դիտելը հենց այն ճանապարհն է, որով կարճ խումբը վերապրում է աուդիտը, որը պետք է բռներ այն։