Hvað staðfestir openssl dhparam -check og hvað fer fram hjá því

Að standast dhparam -check virðist sem dómur um Diffie-Hellman uppsetningu VPN-sins þíns. Það er það ekki. Skipunin ber saman eina færibreytuskrá við þá reikninga sem hún segist uppfylla, og segir ekkert um hvort stærð hópsins passi við stefnuna þína eða hvort göngin hlaði skránni yfirhöfuð. Að lesa hana sem öryggisúttekt er forsenda sem er þess virði að leiðrétta fyrst.

Færibreytuskrá geymir frumtölu og rafala. Gildi er eiginleiki þessara talna, en styrkur er mat á ógnarlíkani þínu og jafningjum þínum, og þau tvö eru ekki skiptanleg.

Hvað gildisskoðunin staðfestir í raun

Keyrðu skoðunina á skránni sem þú hefur og lestu svarið. openssl dhparam -in dh.pem -check -noout framkvæmir færibreytuskoðanirnar og bælir kóðaða úttakið. Skilaboð um að færibreyturnar virðist í lagi þýða að gildin séu byggingarlega samræmd; það þýðir ekki að stuttur hópur sé ásættanlegur í þínu umhverfi.

Myndun án -dsaparam gefur öruggar frumtölur, þar sem (p-1)/2 er líka frumtala, og þess vegna tekur það svona langan tíma. DSA-stíls leiðin byggir færibreytur hraðar og breytir þeim í DH-form, og OpenSSL handbókin tengir frekari kröfur um ferska lykla við notkun þeirra. Hvorug byggingin er lotu leyndarmál: skráin er opinbert stillingarefni, ekki einkalykill vottorðsins og ekki sameiginlegt leyndarmál stýrirásarinnar.

Lestu stærð og rafala áður en þú dæmir skrána

Gildisniðurstaða þýðir meira þegar þú veist hvað var staðfest. Prentaðu færibreyturnar með openssl dhparam -in dh.pem -text -noout, og skráðu svo lengd frumtölunnar og gildi rafalans.

Berðu þá lengd saman við skriflega stefnu frekar en venju. Ef krafan þín er samþykktur nefndur hópur úr nútíma TLS stakki getur handgerð skrá verið alveg rangt gripið. Skráðu báðar tölurnar í breytingaskrána svo næsti yfirferðarmaður þurfi ekki að leiða þær út aftur.

Gerðu skoðun ekki að endurgerð

Bilunarhamurinn hér er skipun sem lítur út eins og skoðun og hegðar sér eins og rafali. Að bæta við bitlengd, eins og í openssl dhparam -check 2048, biður um nýjar færibreytur og inntaksskráin er hunsuð. Rafalavalkostur getur gert það sama. Ef þú ætlaðir bara að skoða, gefðu -in og -check og ekkert sem lýsir stærð.

Að skrifa úttak yfir upprunalegu slóðina á skilið sömu tortryggni, því handbókin varar við því að skráarúttak sé ekki atómt. Hrun mitt í skrifum skilur eftir styttri færibreytuskrá og þjónustu sem startar ekki.

Lagaðu hópinn að samskiptareglunum, ekki tísku

Stærðarstefna er ákvörðun sem tólið getur ekki lesið fyrir þig. Hópur yfir endanlegu sviði með 2048 bitum er algengt gólf og stærri hópar kosta handabandstíma, svo veldu töluna sem þín eigin grunnlína nefnir og skrifaðu hana niður. Víða notuðir hópar eru ekki veikburða af því að þeir eru opinberir; óþekktin bætir engu við hér.

Þar sem stakkið styður samþykkta nefnda hópa, fylgdu þeirri skjalfestu skipan í stað þess að búa til óvenjulegar færibreytur til að láta þær líta einstakar út. Nefndur hópur er eitthvað sem jafningi getur þekkt og yfirferðarmaður getur flett upp, sem er meira virði en sérsniðin skrá sem enginn getur flokkað.

Staðfestu að VPN-ið hleður skránni yfirhöfuð

Rétt færibreytuskrá sem enginn ferli les breytir engu. Í OpenVPN er þjónfyrirmælið dh með slóð, og uppsetningar sem treysta á ECDH eða TLS 1.3 lyklaskipti geta stillt dh none í staðinn. Athugaðu stillinguna sem er í gangi frekar en sniðmát, og staðfestu svo að biðlarar og jafningjar semji um sömu byggingu.

Lokaðu hringnum með þeim sönnunargögnum sem þú þarft í raun: hópnum sem göngin semdu um, lengd færibreytanna í skránni og stefnulínunni sem sú lengd uppfyllir. Skýrsla sem stenst á heima á þeim lista sem einn liður. Að meðhöndla hana sem allt svarið er hvernig stuttur hópur lifir af úttekt sem átti að grípa hann.