OpenVPN ಲಾಗ್: ನಿಯಂತ್ರಣ ಚಾನಲ್ ಸೈಫರ್ ವಿರುದ್ಧ ಡೇಟಾ ಚಾನಲ್ ಸೈಫರ್

DHE-RSA-AES256-SHA ಎಂದು ಹೆಸರಿಸುವ ಲಾಗ್ ಸಾಲು ಇಡೀ ಸಂಪರ್ಕದ ಸಾರಾಂಶವಲ್ಲ. ಇದು ನಿಯಂತ್ರಣ ಚಾನಲ್ ಅನ್ನು ರಕ್ಷಿಸುವ TLS ಹ್ಯಾಂಡ್‌ಶೇಕ್‌ಗೆ ಸೇರಿದೆ, ಮತ್ತು ಸುರಂಗದ ಒಳಗಿನ ಟ್ರಾಫಿಕ್ ಸಂಪೂರ್ಣವಾಗಿ ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಆಗಿರಬಹುದು. ಇದನ್ನು VPN ನ ಡೇಟಾ ಸೈಫರ್ ಎಂದು ತೋರಿಸುವುದು ತಪ್ಪಿಸಬೇಕಾದ ತಪ್ಪು.

ಎರಡು ಫಲಿತಾಂಶಗಳು ಮುಖ್ಯ, ಮತ್ತು ಅವು ಬೇರೆ ಬೇರೆ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತವೆ. ಒಂದು ನಿಯಂತ್ರಣ ಚಾನಲ್‌ಗಾಗಿ ಒಪ್ಪಿಕೊಂಡ TLS ಸೂಟ್; ಇನ್ನೊಂದು ಸುರಂಗವು ಸಾಗಿಸುವ ಪ್ಯಾಕೆಟ್‌ಗಳ ಡೇಟಾ ಸೈಫರ್.

ಎರಡು ಫಲಿತಾಂಶಗಳು, ಎರಡು ಪ್ರಶ್ನೆಗಳು

ನಿಯಂತ್ರಣ ಚಾನಲ್ ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಮತ್ತು ಸಹಚರರ ನಡುವಿನ ನಿರ್ವಹಣಾ ಸಂದೇಶಗಳನ್ನು ಸಾಗಿಸುತ್ತದೆ. ಅದರ ಸೈಫರ್ ಅನ್ನು TLS ಸ್ಟಾಕ್ ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಹೆಸರು TLS ಸಂಪ್ರದಾಯಗಳನ್ನು ಅನುಸರಿಸುತ್ತದೆ. ಡೇಟಾ ಚಾನಲ್ ಬಳಕೆದಾರರ ಟ್ರಾಫಿಕ್ ಅನ್ನು ಸಾಗಿಸುತ್ತದೆ ಮತ್ತು ಅದನ್ನು OpenVPN ನ ಸ್ವಂತ ಸೈಫರ್ ಮಾತುಕತೆ ಕಾನ್ಫಿಗರ್ ಮಾಡುತ್ತದೆ.

ಎರಡೂ ಸಾಲುಗಳಲ್ಲಿ ಯಾವುದನ್ನಾದರೂ ಓದುವ ಮೊದಲು ನೀವು ಯಾವ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತಿದ್ದೀರಿ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸಿ. ಸುರಂಗ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಆಗಿದೆಯೇ ಮತ್ತು ಹ್ಯಾಂಡ್‌ಶೇಕ್ ಬಲವಾಗಿದೆಯೇ ಎಂಬುದು ಒಂದೇ ಪ್ರಶ್ನೆ ಅಲ್ಲ.

ಎರಡೂ ಸಾಲುಗಳನ್ನು ತೋರಿಸುವ ಲಾಗ್ ಭಾಗ ಉಪಯುಕ್ತ. ನಿಯಂತ್ರಣ ಸಾಲನ್ನು TLS ಆವೃತ್ತಿ ಮತ್ತು ಸೂಟ್‌ಗಾಗಿ ಓದಿ, ಡೇಟಾ ಸಾಲನ್ನು ಪೇಲೋಡ್ ಅನ್ನು ನಿಜವಾಗಿ ರಕ್ಷಿಸುವ ಅಲ್ಗಾರಿದಮ್‌ಗಾಗಿ ಓದಿ.

TLS ಸೂಟ್ ಹೆಸರನ್ನು ಅದರ ಸ್ವಂತ ಸಂದರ್ಭದಲ್ಲಿ ಅರ್ಥ ಮಾಡಿಕೊಳ್ಳಿ

OpenSSL ಶೈಲಿಯ ಐತಿಹಾಸಿಕ ಹೆಸರಿನಲ್ಲಿ, ಉದಾಹರಣೆಗೆ DHE-RSA-AES256-SHA, ಪ್ರತಿ ಘಟಕ ಬೇರೆ ನಿರ್ಣಯವನ್ನು ವಿವರಿಸುತ್ತದೆ. DHE ಎಂಬುದು ಅಲ್ಪಕಾಲಿಕ Diffie-Hellman ಕೀ ಒಪ್ಪಂದ, RSA ಎಂಬುದು ದೃಢೀಕರಣ ವಿಧಾನ, AES256 ಎಂಬುದು TLS ದಾಖಲೆಗಳಿಗಾಗಿ CBC ಮೋಡ್‌ನಲ್ಲಿ AES-256, ಮತ್ತು SHA ಎಂಬುದು SHA-1 ಆಧಾರಿತ ದಾಖಲೆ MAC.

ಕೊನೆಯ ಘಟಕ ಪ್ರಮಾಣಪತ್ರದ ಬೆರಳಚ್ಚು ಅಲ್ಲ, ಮತ್ತು ಅದನ್ನು ಹಾಗೆ ಓದುವುದು ಸಾಮಾನ್ಯ ತಪ್ಪು. ಹೆಸರು ತಾನಾಗಿಯೇ ಪ್ರೋಟೋಕಾಲ್ ಆವೃತ್ತಿಯನ್ನೂ ಹೇಳುವುದಿಲ್ಲ, ಏಕೆಂದರೆ TLS 1.3 ಸಂಪೂರ್ಣವಾಗಿ ಬೇರೆ ಹೆಸರಿಸುವ ಯೋಜನೆಯನ್ನು ಬಳಸುತ್ತದೆ. TLS_AES_256_GCM_SHA384 ಆ ಹೊಸ ರೂಪವನ್ನು ಅನುಸರಿಸುತ್ತದೆ, ಅದರಲ್ಲಿ ಕೊನೆಯ ಹ್ಯಾಶ್ ಸೂಟ್‌ನ ರಚನೆಯ ಭಾಗ, MAC ಆಯ್ಕೆ ಅಲ್ಲ. ಘಟಕ-ಆಧಾರಿತ ಓದುವಿಕೆಯನ್ನು ಹಳೆಯ ಹೆಸರಿಸುವ ಶೈಲಿಗೆ ಮಾತ್ರ ಅನ್ವಯಿಸಿ.

OpenSSL ಸೂಟ್ ಉಲ್ಲೇಖ ಯಾವುದೇ ಘಟಕ ಪರಿಚಯವಿಲ್ಲದಿದ್ದರೆ ಈ ಹೆಸರುಗಳನ್ನು ಅವುಗಳ ವ್ಯಾಖ್ಯಾನಗಳೊಂದಿಗೆ ಸಂಪರ್ಕಿಸುತ್ತದೆ.

ಸಾಗಿಸಲಾದ ಟ್ರಾಫಿಕ್‌ಗಾಗಿ ಡೇಟಾ ಚಾನಲ್ ಫಲಿತಾಂಶವನ್ನು ಓದಿ

ಸಾಗಿಸಲಾದ ಟ್ರಾಫಿಕ್‌ಗಾಗಿ ಅದೇ ಅಧಿವೇಶನದ ಡೇಟಾ ಚಾನಲ್ ಸಾಲನ್ನು ಓದಿ. ಕಾನ್ಫಿಗರೇಶನ್‌ನಲ್ಲಿ data-ciphers ಪಟ್ಟಿ ಅನುಮತಿಸಲಾದ ಗುಂಪು, ನಿರ್ದಿಷ್ಟ ಅಲ್ಗಾರಿದಮ್ ಒಪ್ಪಿಕೊಳ್ಳಲಾಗಿದೆ ಎಂಬುದಕ್ಕೆ ಸಾಕ್ಷಿ ಅಲ್ಲ. ಲಾಗ್ ಆಯ್ಕೆಯನ್ನು ದಾಖಲಿಸುತ್ತದೆ; ಕಾನ್ಫಿಗರೇಶನ್ ಮೆನುವನ್ನು ಪಟ್ಟಿ ಮಾಡುತ್ತದೆ.

AES-GCM ನಂತಹ AEAD ಸೈಫರ್ ತನ್ನದೇ ಸಮಗ್ರತಾ ಪರಿಶೀಲನೆಯನ್ನು ಒಯ್ಯುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರತ್ಯೇಕ ಡೇಟಾ ಚಾನಲ್ HMAC ಆ ಮಾರ್ಗದ ಭಾಗವಲ್ಲ.

auth ಸೂಚನೆ TLS, ಪ್ರಮಾಣಪತ್ರಗಳು ಅಥವಾ ಡೇಟಾ ಸೈಫರ್ ಅನ್ನು ಅಪ್‌ಗ್ರೇಡ್ ಮಾಡುವುದಿಲ್ಲ. ಇದು ಪ್ರೋಟೋಕಾಲ್‌ನ ಇನ್ನೂ ಒಂದನ್ನು ಬಳಸುವ ಭಾಗಗಳಿಗೆ ಡೈಜೆಸ್ಟ್ ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ಮತ್ತು AEAD ಡೇಟಾ ಸೈಫರ್‌ನೊಂದಿಗೆ ಕಾನ್ಫಿಗರ್ ಮಾಡಲು ಪ್ರತ್ಯೇಕ ಡೇಟಾ HMAC ಇಲ್ಲ.

ಗುರುತಿನ ಪರಿಶೀಲನೆಗಳನ್ನು ಸೈಫರ್ ಫಲಿತಾಂಶದ ಹೊರಗೆ ಇರಿಸಿ

ಪ್ರಮಾಣಪತ್ರದ ಸಹಿ ಅಲ್ಗಾರಿದಮ್, ವಿಶ್ವಾಸ ಸರಪಳಿಯ ಮೌಲ್ಯೀಕರಣ ಮತ್ತು ಸಹಚರರ ಹೆಸರಿನ ಪರಿಶೀಲನೆ ಸೈಫರ್ ಹೆಸರು ಏನೂ ಹೇಳದ ಇನ್ನೂ ಮೂರು ಗುಣಲಕ್ಷಣಗಳು. ಅವಧಿ ಮುಗಿದ ಪ್ರಮಾಣಪತ್ರ ವಿಫಲವಾಗುತ್ತದೆ, ಸೂಟ್ ಎಷ್ಟೇ ಬಲವಾಗಿದ್ದರೂ. ಹೊಂದಿಕೆಯಾಗದ ಸರ್ವರ್ ಹೆಸರು ಅದೇ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ. ಪ್ರೊಫೈಲ್‌ನಲ್ಲಿ ಡೈಜೆಸ್ಟ್ ಸೆಟ್ಟಿಂಗ್ ಸರಿಪಡಿಸುವುದು ಎರಡನ್ನೂ ಸರಿಪಡಿಸುವುದಿಲ್ಲ.

ಈ ಪರಿಶೀಲನೆಗಳನ್ನು ವಿಮರ್ಶಾ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಸೈಫರ್ ಫಲಿತಾಂಶದ ಪಕ್ಕದಲ್ಲಿ ಇರಿಸಿ, ಅದರಲ್ಲಿ ಬೆರೆಸಬೇಡಿ.

ಪ್ರಸ್ತುತ ಅಧಿವೇಶನದ ಒಪ್ಪಿದ ಫಲಿತಾಂಶಗಳನ್ನು ದಾಖಲಿಸಿ

ಪ್ರಸ್ತುತ ಸಂಪರ್ಕದ ಫಲಿತಾಂಶಗಳನ್ನು ತೆಗೆದುಕೊಂಡು ಅವುಗಳೊಂದಿಗೆ ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ ಆವೃತ್ತಿಗಳನ್ನು ದಾಖಲಿಸಿ. ಕೇವಲ ಸೇರಿಸುವ ಲಾಗ್ ಹಳೆಯ ಅಧಿವೇಶನದ ಸಾಲನ್ನು ಇರಿಸಿಕೊಳ್ಳಬಹುದು, ಮತ್ತು ಅದನ್ನು ಪ್ರಸ್ತುತ ಎಂದು ಉಲ್ಲೇಖಿಸುವುದು ಸರಿಪಡಿಸಿದ ಸಮಸ್ಯೆ ಮುಂದುವರಿದಂತೆ ಕಾಣುವ ವಿಧಾನ.

ನೀತಿ ವಿಮರ್ಶೆಗಾಗಿ ಕಾನ್ಫಿಗರೇಶನ್ ಮಾಲೀಕರಿಗೆ ಒಪ್ಪಿದ TLS ಆವೃತ್ತಿ ಮತ್ತು ಸೂಟ್, ಆಯ್ಕೆ ಮಾಡಿದ ಡೇಟಾ ಸೈಫರ್ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಮೌಲ್ಯೀಕರಣ ಸೆಟ್ಟಿಂಗ್‌ಗಳನ್ನು ಒಟ್ಟಿಗೆ ಕೊಡಿ. ಆ ಪದರವನ್ನು ಬದಲಾಯಿಸಿ, ನಂತರ ಹೊಸ ಒಪ್ಪಿದ ಮೌಲ್ಯಗಳನ್ನು ದೃಢೀಕರಿಸಲು ಹೊಸ ಲಾಗ್ ಓದಿ.