ಈ ಪ್ರಕಟಿತ OpenVPN ಕೀಲಿಯು CA, ಪೀರ್ ಕೀಲಿ ಅಥವಾ tls-auth ಆಗಿದೆಯೇ?

ಯಾರೋ VPN ಕೀಲಿ ಸಾರ್ವಜನಿಕವಾಗಿದೆ ಎಂದು ವರದಿ ಮಾಡುತ್ತಾರೆ, ಮತ್ತು ಆ ವಾಕ್ಯವು ಸಂಪೂರ್ಣವಾಗಿ ಭಿನ್ನವಾದ ಮೂರು ಸಂದರ್ಭಗಳನ್ನು ಮುಚ್ಚಿಡುತ್ತದೆ. ಅದು ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಹೊಂದಿರಬೇಕಾದ CA ಪ್ರಮಾಣಪತ್ರವಾಗಿರಬಹುದು, ಒಂದೇ ಯಂತ್ರದಿಂದ ಎಂದೂ ಹೊರಬರಬಾರದಿದ್ದ ಖಾಸಗಿ ಗುರುತಿನ ಕೀಲಿಯಾಗಿರಬಹುದು, ಅಥವಾ ಎರಡೂ ತುದಿಗಳು ಹಿಡಿದಿಟ್ಟುಕೊಳ್ಳಬೇಕಾದ ಹಂಚಿಕೆಯ ನಿಯಂತ್ರಣ-ಚಾನೆಲ್ ರಹಸ್ಯವಾಗಿರಬಹುದು. ಸರಿಪಡಿಸುವಿಕೆ, ತುರ್ತು ಮತ್ತು ಹಾನಿಯ ವ್ಯಾಪ್ತಿ ಪ್ರತಿ ಸಂದರ್ಭದಲ್ಲೂ ಭಿನ್ನ, ಆದ್ದರಿಂದ ಮೊದಲ ಕೆಲಸವು ವರ್ಗೀಕರಣ, ಕ್ರಮವಲ್ಲ. ವರ್ಗ ತಪ್ಪಾದರೆ ಮುಂದಿನ ಪ್ರತಿ ಹೆಜ್ಜೆಯೂ ವ್ಯರ್ಥ ಶ್ರಮ.

ಫೈಲ್ ಹೆಸರಿನಿಂದಲ್ಲ, ಸೂಚನೆಯಿಂದ ಪ್ರಾರಂಭಿಸಿ

ಸಕ್ರಿಯ ಸಂರಚನೆಯನ್ನು ಓದಿ ಮತ್ತು ಯಾವ ಸೂಚನೆ ಸಂಬಂಧಿತ ಸಾಮಗ್ರಿಯತ್ತ ತೋರಿಸುತ್ತದೆ ಎಂದು ಕಂಡುಹಿಡಿಯಿರಿ. OpenVPN ನ TLS ಆಯ್ಕೆಗಳು ವಿಶ್ವಾಸಾರ್ಹ ಪ್ರಮಾಣಪತ್ರ ಸಾಮಗ್ರಿಗೆ ca, ಸ್ಥಳೀಯ ಪೀರ್ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ cert ಮತ್ತು ಅದಕ್ಕೆ ಸೇರಿದ ಖಾಸಗಿ ಕೀಲಿಗೆ key ಬಳಸುತ್ತವೆ.

ಫೈಲ್ ಹೆಸರುಗಳು ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. key.pem ಎಂಬ ಹೆಸರಿನ ಫೈಲ್ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಹೊಂದಿರಬಹುದು, ಮತ್ತು ಪ್ರೊಫೈಲ್ ಒಳಗಿನ ಒಳಸೇರಿಸಿದ ಬ್ಲಾಕ್ ಡಿಸ್ಕ್ ಮೇಲಿನ ಪ್ರತ್ಯೇಕ ಫೈಲ್ ಇರುವಂತೆಯೇ ಅದೇ ವಸ್ತುವನ್ನು ಹೊಂದಿರಬಹುದು. ಹೆಸರನ್ನು ನಂಬುವ ಬದಲು ಫೈಲ್ ತೆರೆದು ಅದರ ಹೆಡರ್ ನೋಡಿ. ಆ ಒಂದು ಪರಿಶೀಲನೆ ವರದಿಯಲ್ಲಿನ ಬಹುಪಾಲು ಅಸ್ಪಷ್ಟತೆಯನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.

ಪ್ರೊಫೈಲ್ PKCS#12 ಬಂಡಲ್ ಆಗಿದ್ದರೆ, ಅದು ನಿಜವಾಗಿ ಏನನ್ನು ಹೊಂದಿದೆ ಎಂದು ನೋಡಲು ನಿಯಂತ್ರಿತ ಸ್ಥಳದಲ್ಲಿ ಅದನ್ನು ಬಿಚ್ಚಿ. ಒಂದೇ ಬಂಡಲ್ ಪ್ರಮಾಣಪತ್ರ, ಅದರ ಸರಪಳಿ ಮತ್ತು ಖಾಸಗಿ ಕೀಲಿಯನ್ನು ಹೊತ್ತೊಯ್ಯಬಹುದು, ಅಂದರೆ ಬಂಡಲ್ ಸೋರಿಕೆ ಎಂದರೆ ಮೂರರ ಸೋರಿಕೆ.

ಯಾರಾದರೂ ಫೈಲ್ ಬದಲಿಸುವ ಮೊದಲು ವರ್ಗೀಕರಣವನ್ನು ಬರೆಯಿರಿ: ವಸ್ತು, ಸೂಚನೆ, ಯಾವ ಪೀರ್ ಇದನ್ನು ಹಿಡಿದಿವೆ ಮತ್ತು ಯಾರು ಅದನ್ನು ಓದಬಹುದು. ಉತ್ತರದ ಉಳಿದ ಭಾಗ ಆ ವಾಕ್ಯವನ್ನೇ ಅವಲಂಬಿಸಿದೆ.

CA ಪ್ರಮಾಣಪತ್ರವು ಹಂಚಿಕೊಳ್ಳಲು ವಿನ್ಯಾಸಗೊಳಿಸಲಾಗಿದೆ

ಸಾರ್ವಜನಿಕ CA ಪ್ರಮಾಣಪತ್ರವು ವಿಶ್ವಾಸದ ಸಾಮಗ್ರಿ. ಸರ್ವರ್ ಪರಿಶೀಲಿಸಲು ಅದು ಬೇಕು, ಮತ್ತು ಅದನ್ನು ಹಂಚುವುದು ಘಟನೆಯಲ್ಲ, ಸಾಮಾನ್ಯ ಸ್ಥಿತಿ. ಅದನ್ನು ಪ್ರಕಟಿಸುವುದರಿಂದ CA ಯ ಖಾಸಗಿ ಸಹಿ ಕೀಲಿ ಪ್ರಕಟವಾಗುವುದಿಲ್ಲ, ಮತ್ತು ಆಕ್ರಮಣಕಾರರಿಗೆ ಹೊಸ ಗುರುತುಗಳನ್ನು ಸೃಷ್ಟಿಸಲು ಅವಕಾಶ ನೀಡುವ ವಸ್ತು ಅದೇ ಆಗಿದೆ.

ಈ ವ್ಯತ್ಯಾಸವನ್ನು ಟಿಕೆಟ್ ಒಳಗೆ ಸ್ಪಷ್ಟವಾಗಿ ಬರೆಯುವುದು ಯೋಗ್ಯ, ಏಕೆಂದರೆ ಎರಡನ್ನೂ ನಿರಂತರವಾಗಿ ಗೊಂದಲಿಸಲಾಗುತ್ತದೆ. ಉತ್ತರಿಸಬೇಕಾದ ಪ್ರಶ್ನೆ ಎಂದರೆ ಸೋರಿದ ಫೈಲ್ ಪ್ರಮಾಣಪತ್ರವೋ ಅಥವಾ ಸಹಿ ಕೀಲಿಯೋ ಎಂಬುದು, ಮತ್ತು ಫೈಲ್ ವಿಷಯದ ಮೇಲಿನ ಒಂದು ನೋಟ ಅದನ್ನು ನಿರ್ಣಯಿಸುತ್ತದೆ. ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿ ಸಾರ್ವಜನಿಕ ಕೀಲಿ ಮತ್ತು ಸಹಿ ಇರುತ್ತದೆ; ಸಹಿ ಕೀಲಿ ಅದರಲ್ಲಿ ಸ್ವಲ್ಪವೂ ಕಾಣಿಸುವುದಿಲ್ಲ.

ಹಂಚಿಕೆಗೆ ಇನ್ನೂ ಎಚ್ಚರಿಕೆ ಬೇಕು. ಅನುಮೋದಿತ ಪ್ರೊಫೈಲ್ ವಿತರಣಾ ಮಾರ್ಗದ ಮೂಲಕ ಪ್ರಮಾಣಪತ್ರ ಪಡೆಯಬೇಕು, ಅಂಟಿಸುವ ತಾಣದಿಂದ ಅಲ್ಲ, ಮತ್ತು ಅವಿಶ್ವಾಸಾರ್ಹ ಮಾರ್ಗದಿಂದ ಬರುವ ಪ್ರಮಾಣಪತ್ರವನ್ನು ದಾರಿಯಲ್ಲಿ ಬದಲಿಸಬಹುದು.

ಪೀರ್ ಕೀಲಿ ಮತ್ತು tls-auth ರಹಸ್ಯ ಒಂದಲ್ಲ

ಸಹಭಾಗಿಯ ಖಾಸಗಿ ಕೀಲಿ ಗುರುತಿನ ಸಾಮಗ್ರಿ. ಅದು ನಕಲಾಗಿದ ಮೇಲೆ, ಸರ್ವರ್ ಉದ್ದೇಶಿತ ಸಾಧನವನ್ನು ನಕಲನ್ನು ಹೊಂದಿರುವ ಯಾರಿಂದಲೂ ಪ್ರತ್ಯೇಕಿಸಲಾಗದು, ಏಕೆಂದರೆ ಪ್ರದರ್ಶಿಸಲ್ಪಡುತ್ತಿದ್ದ ಗುಣವೇ ವಿಶೇಷ ಸ್ವಾಧೀನ. ಅನುಮತಿ ಮುಂದುವರಿಸುವುದು ಮತ್ತು ಬದಲಾವಣೆ VPN ಮಾಲೀಕನ ನಿರ್ಣಯ, ಫೈಲ್ ಕಂಡುಕೊಂಡವನದಲ್ಲ.

tls-auth ರಹಸ್ಯ ಮೂರನೆಯದು. ಅದು ನಿಯಂತ್ರಣ-ಚಾನೆಲ್ ಪ್ಯಾಕೆಟ್ ಸುತ್ತ HMAC ದೃಢೀಕರಣ ಸೇರಿಸುತ್ತದೆ, ಇದರಿಂದ ತಪ್ಪಾಗಿ ದೃಢೀಕರಿಸಿದ ಪ್ಯಾಕೆಟ್ ಅನ್ನು TLS ವಿನಿಮಯಕ್ಕೆ ಮೊದಲೇ ತೆಗೆದುಹಾಕಲಾಗುತ್ತದೆ, ಮತ್ತು ಅದು ಪೀರ್ ಖಾಸಗಿ ಕೀಲಿಯೂ ಅಲ್ಲ, ಅಪ್ಲಿಕೇಶನ್ ಡೇಟಾವನ್ನು ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡುವ ಕೀಲಿಯೂ ಅಲ್ಲ.

ಆ ಹಂಚಿಕೆಯ ರಹಸ್ಯ ಸಾರ್ವಜನಿಕವಾದರೆ, ಅದು ಒದಗಿಸಿದ ತಡೆ ಅದನ್ನು ಹೊಂದಿರುವ ಎಲ್ಲರಿಗೂ ಹೋಯಿತು. ಪ್ರತಿ ಧಾರಕನೂ ಅದರ ಹಿಂದಿನ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಬಳಕೆದಾರ ಪರಿಶೀಲನೆಗಳನ್ನು ಪಾಸ್ ಮಾಡುತ್ತಾನೆ ಎಂದು ಅದರಿಂದ ಅನುಸರಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ವರ್ಗೀಕರಣ ಎಚ್ಚರಿಕೆಯ ಮಟ್ಟಕ್ಕಿಂತ ಹೆಚ್ಚು ಮುಖ್ಯ. ಯಾವ ತಡೆ ಬಿದ್ದಿತು ಎಂದು ಹೇಳಿ, ಮತ್ತು ಯಾವುವು ಉಳಿದಿವೆ ಎಂದು ಹೇಳಿ.

ಸೋರಿದ ಪಾತ್ರವನ್ನು ಸರಿಪಡಿಸಿ, ನೆರೆಯದನ್ನು ಅಲ್ಲ

ಫೈಲ್ ಮರುನಾಮಕರಣ ಮಾಡಿ ಅಥವಾ ಡೌನ್ಲೋಡ್ ಲಿಂಕ್ ಮುಚ್ಚಿಟ್ಟು ಹಂಚಿಕೆಯ ರಹಸ್ಯವನ್ನು ಮತ್ತೆ ಖಾಸಗಿಯಾಗಿಸಲಾಗದು. ಬದಲಾವಣೆ ಎಂದರೆ ಹೊಸ ಮೌಲ್ಯವನ್ನು ಸೃಷ್ಟಿಸಿ ಸಂಯೋಜಿತ ಬದಲಾವಣೆಯಲ್ಲಿ ಪ್ರತಿ ಸಹಭಾಗಿಗೂ ಹಂಚುವುದು, ಮತ್ತು ಒಂದೇ ಬದಿಯನ್ನು ಬದಲಿಸುವುದು ಹಳೆಯ ಮೌಲ್ಯ ಇನ್ನೂ ಇರುವ ಎಲ್ಲರ ಒಪ್ಪಂದವನ್ನು ಮುರಿಯುತ್ತದೆ.

ಸಹಭಾಗಿಯ ಗುರುತು ಬಯಲಾದರೆ, ಆ ಗುರುತಿಗೆ ನಿರ್ವಾಹಕರ ರದ್ದು ಮತ್ತು ಮರುನೋಂದಣಿ ಪ್ರಕ್ರಿಯೆಯನ್ನು ಬಳಸಿ. ಸಂಬಂಧವಿಲ್ಲದ ಖಾತೆಯ ಪಾಸ್ವರ್ಡ್ ಬದಲಿಸುವುದು ನಕಲಾದ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಅಮಾನ್ಯಗೊಳಿಸುವುದಿಲ್ಲ, tls-auth ಫೈಲ್ ಬದಲಿಸುವುದೂ ಇಲ್ಲ.

ಇವುಗಳಲ್ಲಿ ಯಾವುದನ್ನಾದರೂ ಅವಲಂಬಿಸುವ ಮೊದಲು ನಿಯೋಜಿತ ಸರ್ವರ್ ನಿಜವಾಗಿ ಏನನ್ನು ಜಾರಿಗೊಳಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ನವೀಕರಿಸದ ರದ್ದತಿ ಪಟ್ಟಿ, ಅಥವಾ ಅಡಚಣೆಯ ಸಮಯದಲ್ಲಿ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿದ ಪಾತ್ರ ಪರಿಶೀಲನೆ, ಉತ್ತರವನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ಬದಲಿಸುತ್ತದೆ. ಭಂಡಾರದ ಪ್ರತಿಯಲ್ಲ, ಚಾಲನೆಯಲ್ಲಿರುವ ಸಂರಚನೆಯನ್ನು ಓದಿ.

ಹಿಂದಿನ ಸಂಚಾರವನ್ನು ಅದರದೇ ನಿಯಮಗಳಲ್ಲಿ ನಿರ್ಣಯಿಸಿ

ಬಯಲಾದ ಫೈಲ್ ಒಂದೇ ತಾನಾಗಿ ಹಿಂದೆ ಸೆರೆಹಿಡಿದ ಅವಧಿಗಳನ್ನು ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಬಹುದೇ ಎಂದು ಹೇಳುವುದಿಲ್ಲ. ಅದು ಕೀಲಿ ಸ್ಥಾಪನಾ ವಿಧಾನ, ಬಯಲಾದ ಸಾಮಗ್ರಿ ಮತ್ತು ಯಾವ ದಾಖಲೆಗಳಿವೆ ಎಂಬುದನ್ನು ಅವಲಂಬಿಸಿದೆ, ಮತ್ತು ‘ಎಲ್ಲ ಸಂಚಾರ ಹೋಯಿತು’ ಹಾಗೂ ‘ಏನೂ ಆಗಲಿಲ್ಲ’ ಎರಡೂ ಆ ಸತ್ಯಗಳಿಲ್ಲದೆ ಊಹೆಗಳು.

ಕ್ರೆಡೆನ್ಷಿಯಲ್ ಯಾವ ವರ್ಗಕ್ಕೆ ಸೇರುತ್ತದೆ ಎಂದು ಕೇಳುವಾಗ ಅದರ ಇನ್ನೊಂದು ಪ್ರತಿಯನ್ನು ಪೋಸ್ಟ್ ಮಾಡಬೇಡಿ. ಬದಲಾಗಿ ಅನುಮೋದಿತ ಬೆಂಬಲ ಮಾರ್ಗದ ಮೂಲಕ ಸೂಚನೆಗಳ ಹೆಸರುಗಳು ಮತ್ತು ರಹಸ್ಯವಲ್ಲದ ಮೆಟಾಡೇಟಾವನ್ನು ಹಂಚಿಕೊಳ್ಳಿ.

ಉಪಯುಕ್ತ ತೀರ್ಮಾನವು ವಸ್ತು, ಅದರ ಪಾತ್ರ, ಕಳೆದುಹೋದ ರಕ್ಷಣೆ ಮತ್ತು ಅಗತ್ಯವಿರುವ ಸಂಯೋಜಿತ ಕ್ರಮವನ್ನು ಹೆಸರಿಸುತ್ತದೆ. ಇದಕ್ಕಿಂತ ಚಿಕ್ಕದು ಶೀರ್ಷಿಕೆ, ಮೌಲ್ಯಮಾಪನವಲ್ಲ.