OpenVPN-ի փաթեթի HMAC նույնականացման ձախողում՝ ո՞ր շերտը։
Փաթեթի պիտակի անհամապատասխանությունը դատավճիռ չէ հաշվի մասին։ Համեմատեք գործընթացի բեռնած պրոֆիլը, ապա կառավարման և տվյալների ալիքների կարգավորումները՝ նախքան բանալիներին դիպչելը։
Երկու ձախողում հաղորդվում է նույն բառապաշարով և գրեթե ոչինչ ընդհանուր չունեն։ Մեկը փաթեթ է, որի նույնականացման պիտակը չհաստատվեց. մյուսը մարդ է, ում հավատարմագրերը մերժվեցին։ Առաջինը երկրորդի տեղ դնելը ձեզ ուղարկում է գաղտնաբառ փնտրելու, որը երբևէ խնդիր չի եղել։
Հաղորդագրությունը նշում է շերտ, և օգտակար աշխատանքը որոշելն է՝ որը, նախքան որևէ նյութ փոխարինելը։ Թեկնածուներին կողք կողքի համեմատելը տարբերությունը տեսնելու ամենաարագ ճանապարհն է։
Երկու ձախողում, որոնք կիսում են մեկ բառ
Փաթեթի նույնականացման սխալը ծագում է երթևեկության մշակման ժամանակ՝ ստացված փաթեթի պիտակը կամ ամփոփումը չհամընկավ այն բանի հետ, ինչ հաշվել էր ստացողը։ Հաշվի մերժումը տեղի է ունենում մուտքի փոխանակումը վերլուծելուց հետո և նշում է օգտատեր, ոչ թե փաթեթ։ Երրորդ հաղորդագրությունը՝ ներգնա փաթեթում HMAC չգտնելու մասին, կրկին այլ է, որովհետև այնտեղ փաթեթը ժամանել էր ընդհանրապես առանց սպասվող նույնականացման տարրի։ Ամբողջական մատյանի նախածանցը ձեզ ասում է, թե որն է երեքից ձեզ մոտ, և նախածանցը սովորաբար առաջինն է, որ հեռացվում է, երբ սխալը տեղադրվում է տոմսի մեջ։
Տարբերությունը փոխում է վերանորոգումը։ Մեկը պահանջում է ալիքի կարգավորումների համապատասխանեցում, մյուսը՝ հաշվի վիճակ, երրորդը՝ պրոֆիլ, որը չի համապատասխանում այն լսողին, որին հասել է։
Համեմատեք, թե աշխատող գործընթացն իրականում ինչ է բեռնել
Սկավառակի վրա ճիշտ ֆայլը ոչինչ չի ապացուցում այն գործընթացի մասին, որը մեկնարկել է դրա խմբագրումից առաջ։ Ստուգեք ընտրված պրոֆիլը, կապված վերջնակետը և արդյոք ծառայությունը վերաբեռնվել է փոփոխությունից հետո։ Համոզվեք նաև, որ վերջնակետը պատկանում է պրոֆիլին, քանի որ մեկ այլ օրինակ կամ այլ ծառայություն կարող է լսել այնտեղ, որտեղ հին ֆայլը այլ բան է սպասում։
Աջակցվող պրոֆիլի վերաարտահանումը նույն աղբյուրից էժան համեմատություն է, որովհետև վերացնում է այն շեղումը, որ կա ձեր կարծած կարգավորվածի և այն բանի միջև, ինչ հաճախորդը իրականում ուղարկում է։ Նոր բանալիային նյութ ստեղծելը շատ ավելի մեծ քայլ է և օգնում է միայն այն դեպքում, երբ երկու կողմերն այն միասին ընդունեն։ Մի կողմը տեղում փոխարինելը վերստեղծում է այն անհամապատասխանությունը, որը փորձում էիք վերացնել։
Համեմատեք կառավարման ալիքը տվյալների ալիքի հետ
Երկու մեխանիզմ նույնականացնում են կապի տարբեր մասեր և կարգավորվում են առանձին, ինչպես 2.6 տարբերակների տեղեկագրում նշված է։ tls-auth ավելացնում է HMAC կառավարման ալիքի փաթեթներին և ընդունում ուղղության փաստարկ, որը երկու գործընկերների մոտ պետք է հակառակ լինի, մինչդեռ tls-crypt փոխարենը պաշտպանում է կառավարման ալիքը համատեղ բանալիով։ Նրանցից ոչ մեկը տվյալների ալիքի սեփական ամբողջականության ստուգումը չէ։ AEAD տվյալների գաղտնագրման դեպքում այդ ստուգումը ներկառուցված է գաղտնագրման մեջ, ուստի առանձին auth ամփոփումը չի օգտագործվում այնպես, ինչպես ոչ AEAD գաղտնագրման դեպքում։
Ինչը նշանակում է, որ auth տողը, պատճենված աշխատող ոչ AEAD տեղակայումից, կարող է անտեղի լինել AEAD տեղակայումում, և AEAD տեղակայումը դեռ կարող է ձախողվել կառավարման ալիքում, եթե tls-auth բանալին կամ դրա ուղղությունը սխալ է։ Համեմատեք յուրաքանչյուր կարգավորում գործընկերոջ հետ, ոչ թե հիշված կոնֆիգուրացիայի։
Համեմատեք ուղղումը այն հատկության հետ, որից հրաժարվում եք
Փաթեթների նույնականացումն անջատելը լռեցնում է նախազգուշացումը և հեռացնում այն ստուգումը, որը գտել էր անհամապատասխանությունը, ինչը նույնը չէ, ինչ պրոֆիլը վերանորոգելը։ Հարցրեք, թե որ հատկությունից եք հրաժարվում և արդյոք ձևավորումը դեռ դիմանում է առանց դրա։
Նախքան որևէ բան փոխելը կարդացեք առաջին համապատասխան իրադարձությունը երկու կողմերում, ապա փոխեք միայն այն անհամապատասխանությունը, որը նա նշում է։
Եթե հաջորդ փորձը հասնում է վկայականի կամ մուտքի սխալի, դա առաջընթաց է, ոչ հետընթաց. փաթեթների շերտն այժմ համաձայն է, և կապը շարժվել է առաջ։ Գրանցեք այն կարգավորումները, որոնք առաջացրին փոփոխությունը, որպեսզի հաջորդ մարդը ժառանգի բացատրություն, ոչ թե հանելուկ։