OpenVPN-pakki: HMAC-sannvottun mistókst – hvaða lag?

Tveimur bilunum er lýst með sama orðaforða og eiga nánast ekkert sameiginlegt. Önnur er pakki þar sem sannvottunarkerkið staðfestist ekki; hin er einstaklingur sem skilríkjum hans var hafnað. Að meðhöndla hina fyrri sem hina síðari sendir ykkur að leita að lykilorði sem var aldrei vandamálið.

Skilaboðin nefna lag, og gagnlegt verk er að ákveða hvaða lag áður en þið skiptið um nokkurt efni. Að bera saman valkostina hlið við hlið er fljótlegasta leiðin til að sjá muninn.

Tvær bilanir sem deila einu orði

Villa í sannvottun pakka kemur upp við vinnslu umferðar: merki eða þykkja á mótteknum pakka passaði ekki við það sem viðtakandinn reiknaði. Hafnun reiknings á sér stað eftir að innskráningarskipti hafa verið þáttuð, og hún nefnir notanda frekar en pakka. Þriðju skilaboðin, um að finna ekki HMAC í innkomnum pakka, eru aftur önnur, því þar kom pakkinn alveg án hins vænta sannvottunareiningar. Fullt forskeyti annálarinnar segir ykkur hverja af þremur þið hafið, og forskeytið er venjulega það fyrsta sem er fjarlægt þegar villa er límd í miða.

Greiningin breytir viðgerðinni. Ein krefst samræmdra stillinga rásar, önnur stöðu reikningsins, og sú þriðja sniðs sem passar ekki við hlustandann sem það náði til.

Berið saman hvað keyrandi ferlið hlóð í raun

Rétt skrá á diski sannar ekkert um ferli sem hófst áður en hún var breytt. Athugið valið snið, endapunktinn sem það hafði samband við, og hvort þjónustan hafi verið endurhlaðin frá breytingunni. Staðfestið einnig að endapunkturinn tilheyri sniðinu, því önnur eining eða önnur þjónusta getur verið að hlusta þar sem gamla skráin væntir einhvers annars.

Að flytja út stutt snið frá sama uppruna er ódýr samanburður, því hann fjarlægir frávikið milli þess sem þið haldið að sé stillt og þess sem biðlarinn sendir í raun. Að búa til nýtt lyklaefni er miklu stærra skref, og það hjálpar aðeins ef báðir endar taka það upp saman. Að skipta um annan hliðina á staðnum endurskapar það ósamræmi sem þið reynduð að fjarlægja.

Berið saman stjórnrásina og gagnarásina

Tveir ferlar sannvotta mismunandi hluta tengingar og eru stilltir sér, eins og valkostaviðmiðið 2.6 lýsir. tls-auth bætir HMAC við pakka stjórnrásarinnar og tekur stefnurök sem verða að vera andstæð hjá jafningjunum tveimur, á meðan tls-crypt ver stjórnrásina með sameiginlegum lykli í staðinn. Hvorugt er eigin heilleikaprófun gagnarásarinnar. Með AEAD-gagnadulkóðun er sú prófun innbyggð í dulritunina, svo hið aðskilda auth þykkja er ekki notuð á sama hátt og með dulritun sem er ekki AEAD.

Sem þýðir að lína auth afrituð úr vinnandi uppsetningu sem ekki er AEAD getur verið óviðkomandi í AEAD-uppsetningu, og AEAD-uppsetning getur samt mistekist á stjórnrásinni ef tls-auth lykillinn eða stefna hans er röng. Berið hverja stillingu saman við jafningjann frekar en við munaða stillingu.

Berið saman viðgerðina og eiginleikann sem þið gefið eftir

Að slökkva á sannvottun pakka þaggar niður viðvöruninni og fjarlægir prófunina sem fann ósamræmið, sem er ekki það sama og að gera við sniðið. Spyrjið hvaða eiginleika þið gefið eftir og hvort hönnunin standist án hans.

Lesið fyrsta viðeigandi atburðinn á báðum endum áður en þið breytið nokkru, og breytið þá aðeins ósamræminu sem hann nefnir.

Ef næsta tilraun kemst áfram að villu í skilríki eða innskráningu er það framfarir en ekki afturhvarf: pakkalagið er nú sammála og tengingin hefur færst áfram. Skráið stillingarnar sem ollu breytingunni, svo næsta manneskja erfir skýringu í stað ráðgátu.