Բիթերի քանակը ստատիկ բանալու ֆայլում OpenVPN-ի գաղտնագրման ուժը չէ

Սկաները կամ գործընկերը մատնանշում է OpenVPN-ի ստատիկ բանալու ֆայլի ներսում տպված բիթերի քանակը և հարցնում, թե ինչու թունելը այդ չափի գաղտնագիր չի օգտագործում։ Հարցը խելամիտ է հնչում, իսկ պատասխանը թիվ չէ․ վերնագիրը հաշվում է պահված բանալու նյութը, մինչդեռ գաղտնագիրը ծախսում է միայն այն մասը, որը պահանջում է նրա բանալու չափը։ Այդ գումարը որպես ուժի կարգավորում դիտարկելը հանգեցնում է փոփոխությունների, որոնք ոչինչ չեն փոխում։ Ձևաչափը կառուցվել է ավելի շատ նյութ պահելու համար, քան օգտագործում է որևէ առանձին ալգորիթմ։

Այստեղ խառնվում են երկու հարցեր․ որքան բանալու նյութ է պահում ֆայլը, և որքան ուժեղ է համաձայնեցված գաղտնագիրը։ Միայն երկրորդն է նկարագրում թունելը։

Ինչ է իրականում հաշվում վերնագրի թիվը

Տարան բաժանում է գաղտնագրման նյութը և HMAC-ի նյութը որպես առանձին կառուցվածքներ, իսկ երկկողմ ձևը պահում է երկու այդպիսի հավաքածու, որպեսզի յուրաքանչյուր ուղղություն կրի իր բանալիները։ Գրող կոդը տպված թիվը ստանում է բաժանված կառուցվածքների քանակից, դրանց չափից և մեկ բայթում ութ բիթից։ Սա թվաբանություն է պահոցի վրա, ոչ թե պնդում, որ մեկ գաղտնագիր ծախսում է յուրաքանչյուր պահված բայթ։ Վերնագիրը նաև ամրագրում է գաղտնագրման նյութի առավելագույն հատկացումը, որպեսզի գրադարանի փոփոխությունը չկարողանա լուռ փոխել ձևաչափի չափերը։

Համեմատեք դա վկայագրի բանալու հետ, որտեղ բիթերի քանակն իսկապես նկարագրում է մեկ օբյեկտի չափը։ 4,096 բիթանոց RSA բանալին և այն բանալու ֆայլը, որի վերնագրում գրված է 4,096 բիթ, տարբեր առարկաներ են տարբեր գործերով, և դրանք որպես մեկ սրվակի երկու կարգավորում դասավորելը վատ եզրակացությունների է հանգեցնում։

Երկու բանալու հավաքածու մեկ ֆայլում

Ֆայլի յուրաքանչյուր կեսը տալիս է գաղտնագրման և նույնականացման նյութ, քանի որ նախապես համօգտագործված բանալու ռեժիմը պաշտպանում է փաթեթները երկու ուղղությամբ այդ առանձին մասերով։ Ակտիվ գաղտնագիրը օգտագործում է միայն այն բայթերը, որոնք պահանջում է նրա բանալու չափը, իսկ հեշը օգտագործում է իր ելքի չափը, դրա համար օգտակար ուժը գալիս է ընտրանքներից, ոչ թե ֆայլի երկարությունից։ Տասնվեցական բլոկը երկարացնելը չի պահանջում կարգավորված ալգորիթմից ավելի շատ ծախսել դրանից։ Մեկնաբանությունը ավելի մեծ թվով խմբագրելը նույնիսկ ավելի քիչ է փոխում։

Եթե իսկապես ավելի երկար բանալի եք ուզում, փոխելիք կարգավորումը գաղտնագիրն է կամ հեշը, և գեներատորը ստեղծում է այն, ինչ պահանջում են ընտրված ալգորիթմները։

Պրոֆիլը կարդալը ասում է, թե որ ռեժիմն ունեք

Նույն ֆայլի ձևաչափը ծառայում է երկու բոլորովին տարբեր գործերի, և միայն պրոֆիլն է ասում, թե որն ունեք։ Հին secret տողը ֆայլը դարձնում է թունելի միակ բանալու նյութը, մինչդեռ tls-auth-ը կամ tls-crypt-ը այն դարձնում է կառավարման ուղու պաշտպանություն վկայագրերի կողքին։ Օգտագործումներից ոչ մեկը այն չի վերածում հաճախորդի վկայագրի գաղտնի բանալու, որքան էլ բլոկը նման տեսք ունենա։ Նախքան փոխարինող ստեղծելը որոշեք ընտրանքն ու տարբերակը, և նիշեր ավելացնելու փոխարեն օգտագործեք փաստագրված գեներատորը։

Այդ տարբերությունը որոշում է նաև բացահայտմանն ի պատասխանը։ Արտահոսած tls-auth բանալին չի բացահայտում սեսիայի բանալիները, բայց թույլ է տալիս հարձակվողին ներարկել կառավարման ուղու երթևեկ, ուստի այն դեռ պետք է փոխարինվի։ Արտահոսած secret բանալին ավելի վատ է, որովհետև հենց այն էր այն նյութը, որը պաշտպանում էր տվյալները։

Ինչ պետք է արձանագրի անվտանգության ստուգումը

Արձանագրեք երեք բան առանձին․ համաձայնեցված տվյալների ուղու պաշտպանությունը, կառավարման ուղու պաշտպանությունը և այն, թե ինչպես են գործընկերները նույնականացնում իրենց։ data-ciphers AES-256-GCM-ի նման տողը նկարագրում է միայն առաջինը, և այնտեղ կանգնող զեկույցը չի կարող պատասխանել, թե արդյոք կառավարման ուղին ընդհանրապես պաշտպանված է։ Ստատիկ բանալու ֆայլը պատկանում է երկրորդ կատեգորիային, երբ օգտագործվում է tls-auth-ի կամ tls-crypt-ի հետ, և ոչ մեկին, երբ չի օգտագործվում։ Կատեգորիաները խառնող վերանայողները պահանջում են ավելի մեծ բանալու ֆայլ, երբ իրականում ավելի ուժեղ գաղտնագիր են ուզում։

Եթե ֆայլը բացահայտվել է, պտտեք այն և նորից բաշխեք հաստատված ուղով։ Վտանգված գաղտնիքին նիշեր ավելացնելը պտտում չէ, և այն թողնում է բացահայտված նյութը վավեր։

Պահեք պտտման գրառումը այն պրոֆիլի հետ, որին այն պատկանում է։ Հաջորդ վերանայումը կհարցնի որ բանալին որ ժամանակաշրջանն է պաշտպանել, և վերնագիրը դրան չի պատասխանի։