Þú þarft ekki tímabundna skrá til að búa til OpenVPN-lykil

Lykilframleiðsla þarf ekki tímabundna skrá, og að sleppa henni lagar minna en flestar leiðbeiningar gefa í skyn. Það sem hún fjarlægir er lífsferill skráar og hreinsunarkapphlaupið í kringum hana. Það sem hún lætur ósnert er hvert tækifæri til að leka leyndarmálinu eftir á. Vandamálið með réttmæti í þessum skriftum liggur venjulega annars staðar, því greining og lykilefni ferðast um mismunandi strauma.

Skráin var aldrei sú vá sem þú hélt

Tímabundin skrá er raunveruleg áhætta þegar allir geta lesið hana, þegar hún lifir af hrun, eða þegar hreinsunarþrepi er sleppt eftir undantekningu. Þetta er raunverulegt, og það er þess virði að laga. Þær eru líka staðbundnar, sýnilegar og auðveldar að prófa. Nefndu hverja og eina í þínu eigin skriftu áður en þú ályktar að breytingin hafi verið aðeins snyrtileg.

Hljóðlátari áhætturnar liggja neðar: lykillinn sem prentaður er við aflúsun, undantekningin sem raðgreinir allan niðurstökuna, hrunmeðhöndlarinn sem skrifar kjarnadump, loggsafnarinn sem tekur við slóð skráarinnar og svo innihaldinu. Að forðast tímabundna skrá gerir ekkert fyrir neitt af þessu, og að trúa hinu gagnstæða er leiðin sem vel viljaður endurskrif gerir leyndarmálið berskjaldaðra en áður. Líttu á breytinguna sem eina endurbót í röð, ekki sem lausnina.

Hvað biðlarinn skrifar þegar ekkert skráarnafn er gefið

Núverandi útgáfur biðlarans senda búna lykilinn á staðalúttak þegar lykilskipunin er gefin án úttaksslóðar. Það er þessi skjalfesta hegðun sem gerir aðferðina í minni framkvæmanlega, og hún fjarlægir þörfina fyrir eldra bragðið að beina tólinu að tækjaslóð.

import subprocess
proc = subprocess.run(
    ["openvpn", "--genkey", "tls-crypt"],
    stdout=subprocess.PIPE,
    stderr=subprocess.PIPE,
    check=True,
)
key_material = proc.stdout

Berðu skipunina fram sem lista. Engin skeljastækkun er þörf hér, og að virkja skel myndi gera rökslóðarmörkin háð tilvitnunum sem þú stjórnar ekki. Notaðu fyrirhugaða keyrsluskrá með algerri slóð ef skriftan getur keyrt með annarri leitarslóð en þú býst við.

Athugun á afturkóða kemur í veg fyrir að árangursleiðin haldi áfram eftir misheppnaða köllun. Án hennar getur tómur bætarstrengur streymt áfram og mistekist aðeins miklu seinna, á þeim punkti þar sem lykillinn er notaður og villuboðin nefna framleiðslu alls ekki lengur.

Tveir straumar, tvær merkingar

Staðalúttak ber lykilinn. Staðalvilla ber allt sem tólið vill segja þér, þar á meðal viðvaranir um stillingarnar, útgáfuna og lykilgerðina. Að beina báðum í einn biðminni er mistakið sem framleiðir trúverðulega útlitandi lykil með setningu saumaða inn í miðjuna.

Haltu misheppnunarleiðinni líka aðskildri. Þegar köllunin mistekst, tilkynntu skipunina sem mistókst og útgangsstöðuna, og ákveddu síðan viljandi hvort einhver hluti staðalvillunnar sé öruggur að sýna. Að hella öllu niðurstökunni í logg er venjulega flýtileiðin, og hún getur borið lykilinn með sér.

Tvíundarörugg lesning skiptir máli ef þú hassar eða berð efnið saman seinna. Textahamur með óvæntri kóðun getur breytt bætum sem aldrei áttu að vera texti, og breyttur lykill er óaðgreinanlegur frá röngum þar til handaband mistekst.

Ef þú geymir hann samt, gerðu það viljandi

Flestar uppsetningar þurfa á endanum lykilinn á diski, á gáttinni eða í leyndarmálageymslu. Skrifaðu hann einu sinni, með takmarkandi heimildum frá sköpun frekar en síðari chmod, og gerðu skrifin atómísk svo hluta skrá verði aldrei sú sem þjónusta les við ræsingu. Endurnefning frá slóð í sömu möppu er venjulega nóg fyrir það. Fjarlægðu undirbúningsslóðina á misheppnunargreininni, því misheppnuðu skrifin eru einmitt eintakið sem fólk gleymir.

Stilltu skráarhaminn þegar skráin er búin til, og haltu möppuhaminum líka takmarkandi. Forðastu hvaða slóð sem er undir stað sem öryggisafritunarskrifstofa sópar upp án umhugsunar, því leyndarmál í næturöryggisafriti er leyndarmál í hverju eintaki þess afrits. Sama röksemd á við sameiginlegt bindi sem aðrar þjónustur geta lesið.

Sameiginlegur lykill er ekki sjálfsmynd

Að búa til þetta efni gefur ekki út skírteini, skráir ekki biðlara og ákvarðar ekki hver tengist. Sameiginlegi lykillinn verndar rás milli aðila sem treysta hvort öðru þegar; sjálfsmyndin kemur áfram frá skírteininu og hvaða auðkenningu sem stendur fyrir framan það.

Lykilgerðirnar eru heldur ekki skiptanlegar. Samhverfur lykill fyrir eina eiginleika er ekki bein staðgengil fyrir aðra, og nýrri útgáfur bæta við sínum eigin afbrigðum með mismunandi skrám á hvorum enda. Búðu til þá gerð sem stillingin þín nefnir í raun, og notaðu hana síðan í því hlutverki sem sú gerð skilgreinir.

Prófaðu niðurstöðuna með raunverulegri tengingu frekar en með því að skoða skráarstærðina. Ef handabandið klárast og loggin sýna engar lykilviðvaranir, er framleiðsluleiðin rétt; ef lykillinn hefði verið styttur af sameinuðum straumi myndi tengingin mistakast á þann hátt sem bendir á mótaðilann frekar en skriftuna.