Er þessi birti OpenVPN-lykill CA, jafningjalykill eða tls-auth?

Einhver tilkynnir að VPN-lykillinn sé opinber, og sú setning felur þrjár algjörlega ólíkar aðstæður. Það gæti verið CA-vottorð sem hverjum biðlara er ætlað að hafa, einkalykill auðkennis sem aldrei átti að fara af einni vél, eða sameiginleg leynd stýrirásar sem báðir endar verða að halda. Viðgerðin, áriðni og umfang tjónsins eru ólík í hverju tilviki, svo fyrsta verkefnið er flokkun en ekki aðgerð. Ef flokkurinn er rangur er hvert næsta skref eyðilagt átak.

Byrjaðu á tilskipuninni, ekki skráarnafninu

Lestu virka stillinguna og finndu hvaða tilskipun vísar á viðkomandi efni. TLS-valkostir OpenVPN nota ca fyrir traust vottorðsefni, cert fyrir vottorð staðbundins jafningja og key fyrir einkalykilinn sem honum tilheyrir.

Skráarnöfn sanna ekkert. Skrá sem heitir key.pem getur innihaldið vottorð, og innfellt blokk í sniðinu getur innihaldið nákvæmlega sama hlut og sér skrá á disknum. Opnaðu skrána og skoðaðu hausinn í stað þess að treysta nafninu. Þessi eina athugun fjarlægir mestu óskýrleikann í skýrslunni.

Ef sniðið er PKCS#12-pakki skaltu pakka honum upp á stýrðum stað til að sjá hvað hann inniheldur í raun. Einn pakki getur borið vottorð, keðju þess og einkalykil, sem þýðir að leki á pakkanum er leki á öllum þremur.

Skrifaðu flokkunina niður áður en einhver breytir skrá: hlutur, tilskipun, hvaða jafningjar halda henni og hver getur lesið hana. Þessi setning er það sem afgangur svarsins byggir á.

CA-vottorð er hannað til að deila

Opinbert CA-vottorð er traustsefni. Biðlarar þurfa það til að sannreyna þjóninn, og dreifing þess er eðlilegt tilvik en ekki atburður. Að birta það birtir ekki einkasignunarlykil CA, og það er einmitt hluturinn sem myndi gera árásarmanni kleift að búa til nýjar auðkenningar.

Það er þess virði að orða þennan mun skýrt í miðanum, því þessu tvennu er stöðugt ruglað saman. Spurningin sem á að svara er hvort leka skráin sé vottorðið eða signunarlykillinn, og fljótlegt augnatillit á innihald skrárinnar leysir það. Vottorð ber opinberan lykil og undirskrift; signunarlykillinn kemur alls ekki fyrir í því.

Dreifingin á samt skilið aðgæslu. Biðlarar ættu að fá vottorðið um samþykkta leið fyrir afhendingu sniða, ekki af límisíðu, og vottorð sem kemur um ótrausta leið getur verið skipt út á leiðinni.

Jafningjalykill og tls-auth-leynd eru ekki

Einkalykill jafningja er auðkennisefni. Þegar hann hefur verið afritaður getur þjónninn ekki lengur greint ætlaða tækið frá hverjum þeim sem heldur afritinu, því einkarétt eignarhald var eiginleikinn sem verið var að sýna fram á. Áframhaldandi heimild og skipti eru ákvörðun eiganda VPN, ekki þess sem fann skrána.

tls-auth-leynd er þriðji hluturinn. Hún bætir HMAC-auðkenningu utan um pakka stýrirásarinnar þannig að rangt auðkenndir pakkar séu hent áður en TLS-skipti hefjast, og hún er hvorki einkalykill jafningja né lykillinn sem dulkóðar gögn forritsins.

Ef sú sameiginlega leynd er opinber er hindrunin sem hún veitti farin fyrir alla sem hafa hana. Af því leiðir ekki að hver handhafi standist vottorðs- og notendaathuganirnar bak við hana, og þess vegna skiptir flokkunin meira máli en viðvörunarstigið. Segðu hvaða hindrun féll, og segðu hverjar eru eftir.

Gerðu við hlutverkið sem lækaði, ekki nágrannann

Ekki er hægt að gera sameiginlega leynd einkaaðila aftur með því að endurnefna skrána eða fela niðurhalshlekkinn. Skipti þýða að búa til nýtt gildi og dreifa því til hvers jafningja í samræmdri breytingu, og að skipta aðeins annarri hlið eyðileggur ráðstöfunina fyrir alla sem enn hafa gamla gildið.

Ef auðkenni jafningja varð opinbert skaltu nota afturköllunar- og endurskráningarferli rekstraraðilans fyrir það auðkenni. Að breyta lykilorði ótengds reiknings ógildir ekki afritað vottorð, og að skipta um tls-auth-skrána gerir það ekki heldur.

Staðfestu hvað uppsetti þjónninn framfylgir í raun áður en þú treystir einhverju af þessu. Afturköllunarlisti sem er ekki endurnýjaður, eða hlutverkaathugun sem var gerð óvirk meðan á truflun stóð, breytir svarinu algjörlega. Lestu stillinguna sem er í gangi en ekki afritið í geymslunni.

Dæmdu fyrri umferð á hennar eigin forsendum

Opinber skrá segir ekki af sjálfu sér hvort hægt sé að afkóða lotur sem voru teknar fyrr. Það fer eftir aðferð við að koma lykli fyrir, efninu sem varð opinbert og hvaða skrár eru til, og bæði „öll umferð er glötuð“ og „ekkert gerðist“ eru gisk án þessara staðreynda.

Ekki birta annað eintak af skilríkjunum á meðan þú spyrð hvaða flokki þau tilheyra. Deildu í staðinn heitum tilskipana og metagögnum sem eru ekki leynd um samþykkta leið stuðnings.

Gagnleg niðurstaða nefnir hlutinn, hlutverk hans, þá vernd sem tapaðist og nauðsynlega samræmda aðgerð. Allt styttra er fyrirsögn en ekki mat.