openssl dhparam -check нені тексереді және нені өткізіп жібереді

dhparam -check тексерісінен өту VPN-нің Diffie-Hellman баптауы туралы үкім сияқты сезіледі. Олай емес. Әмір бір параметр файлын ол орындаймын деп мәлімдеген арифметикамен салыстырады және топ өлшемінің сіздің саясатыңызға сәйкес келетіні не туннельдің сол файлды жүктейтіні туралы ештеңе айтпайды. Оны қауіпсіздік аудиті ретінде оқу — бірінші кезекте түзетуге тұрарлық болжам.

Параметр файлында жай сан мен генератор бар. Жарамдылық — сол сандардың қасиеті, ал күш — сіздің қауіп моделіңіз бен серіктестеріңіз туралы пайымдау, және екеуі бірін-бірі алмастырмайды.

Жарамдылық тексерісі шын мәнінде нені растайды

Қолыңыздағы файлға тексеруді іске қосып, жауапты оқыңыз. openssl dhparam -in dh.pem -check -noout параметр тексерулерін орындайды және кодталған шығысты басады. Параметрлер дұрыс көрінеді деген хабарлама мәндердің құрылымдық тұрғыдан үйлесімді екенін білдіреді; бұл қысқа топтың сіздің ортада қолайлы екенін білдірмейді.

Параметрлерді -dsaparam опциясынсыз генерациялау қауіпсіз жай сандарды береді, онда (p-1)/2 де жай сан, сондықтан бұл сонша ұзаққа созылады. DSA стиліндегі жол параметрлерді тезірек құрады және оларды DH пішініне айналдырады, ал OpenSSL нұсқаулығы оларды пайдалануға жаңа кілттердің қосымша талаптарын байланыстырады. Екі құрылымның ешқайсысы сессия құпиясы емес: файл — ашық конфигурация материалы, сертификаттың жеке кілті де емес, басқару арнасының ортақ құпиясы да емес.

Файлды бағаламас бұрын өлшем мен генераторды оқыңыз

Жарамдылық нәтижесі не тексерілгенін білгенде көбірек мағына береді. Параметрлерді openssl dhparam -in dh.pem -text -noout арқылы басып шығарып, содан кейін жай санның ұзындығын және генератордың мәнін белгілеңіз.

Бұл ұзындықты әдетпен емес, жазбаша саясатпен салыстырыңыз. Егер талабыңыз заманауи TLS стекінің бекітілген атаулы тобы болса, қолмен жасалған файл мүлде дұрыс емес артефакт болуы мүмкін. Екі санды да өзгерістер журналына жазыңыз, келесі шолушы оларды қайта шығаруға мәжбүр болмасын.

Тексеруді қайта жасауға айналдырмаңыз

Мұндағы істен шығу режимі — тексеруге ұқсайтын, бірақ генератор сияқты әрекет ететін әмір. Бит ұзындығын қосу, мысалы openssl dhparam -check 2048, жаңа параметрлерді сұрайды және кіріс файлы еленбейді. Генератор опциясы да солай істей алады. Егер тек қарап шыққыңыз келсе, -in және -check беріңіз, ал өлшемді сипаттайтын ештеңе бермеңіз.

Шығысты бастапқы жолға жазу да сол сенімсіздікке лайық, өйткені нұсқаулық файлға шығару атомдық емес деп ескертеді. Жазу кезіндегі апат кесілген параметр файлы мен іске қосылмайтын қызметті қалдырады.

Топты трендке емес, хаттамаға сәйкестендіріңіз

Өлшем саясаты — құрал сіз үшін оқи алмайтын шешім. 2048 биттік шекті өріс тобы кең тараған төменгі шек, ал үлкенірек топтар қол алысу уақытын қажет етеді, сондықтан өз базалық сызығыңыз атайтын санды таңдап, оны жазып қойыңыз. Кең қолданылатын топтар ашық болғандықтан әлсіз емес; бұл жерде белгісіздік ештеңе қоспайды.

Стек бекітілген атаулы топтарды қолдайтын жерде, оларды бірегей көрсету үшін әдеттен тыс параметрлер жасаудың орнына сол құжатталған тәртіпке сүйеніңіз. Атаулы топ — серіктес тани алатын және шолушы іздей алатын нәрсе, бұл ешкім жіктей алмайтын тапсырыс файлынан құндырақ.

VPN файлды шынымен жүктейтінін растаңыз

Ешбір процесс оқымайтын дұрыс параметр файлы ештеңені өзгертпейді. OpenVPN ішінде сервер директивасы жолмен берілген dh, ал ECDH немесе TLS 1.3 кілт алмасуына сүйенетін орналастырулар оның орнына dh none орната алады. Жұмыс істеп тұрған конфигурацияны тексеріңіз, үлгіні емес, содан кейін клиенттер мен серіктестердің бірдей құрылымға келісетінін растаңыз.

Циклді шынымен қажет дәлелдермен жабыңыз: туннель келіскен топ, файлдағы параметрлер ұзындығы және сол ұзындық қанағаттандыратын саясат жолы. Өткен тексеру сол тізімдегі бір тармақ. Оны толық жауап деп санау — қысқа топтың өзі ұсталуы тиіс аудиттен аман қалу тәсілі.