0x же 0s? ipsec.secrets файлындагы PSK форматын түшүнүү

Бир кардар жалпы ачкыч менен аутентификациядан өтөт, экинчиси аны четке кагат, ал эми сиз койгон белгилер эки тарапта тең бирдей көрүнөт. Балким булар бирдей белгилер; айырмачылык файл аларга кайсы чечмелөө эрежесин колдонорунда. Тырмакчадагы сап сөзмө-сөз алынат, 0x белгисинен башталган токен он алтылык катары окулат, ал эми 0s белгисинен башталган токен Base64 катары окулат. Бул үч жазуунун бирөө гана сиз көздөгөн маанини билдирет, ошондуктан оңдоо адатта жакшыраак сырсөз эмес, айландыруу болуп саналат.

Симптом шифрлерге эмес, коддоого багыттайт

Эки четинде ар башка байттар турганда, сүйлөшүү ийгиликтүү бүтөт, ал эми далилдөө андан кийин ишке ашпайт. Ошондо журнал алгоритмдин дал келбестигинин ордуна бүтүндүк же HMAC катасын жазат, анткени сунуш тандалган жана аутентификация кадамы дал келген эмес. Ал сап сырдын формасын эч качан эске албайт.

Этап — бул белги. Тандалган сунуштан кийин келген ката эки тарап ачкыч материалынан башканын баарына макул болгонун билдирет, ал эми «сунуш тандалган жок» саясатка же шифр топтомдоруна таандык. Сырсөз туура көрүнгөндө ишке ашпаган бүтүндүк текшерүүсү коддоо дал келбестигинин көрүнүүчү бетинен.

Бир сыр, файл аны окуй алган үч ыкма

Төрт байттык key1 мааниси үчүн он алтылык жана Base64 — бирдей байттардын эки кайра коддоосу, жана баштапкы белгилер гана талдоочуга кайсынысын кармап турганын айтат. swanctl ыйгарым укуктары ушул эле конвенцияны карманышат, ошондуктан эки интерфейстин ортосунда жылдырылган маани префикси менен кошо жүргөндө гана маанисин сактайт.

10.20.0.5 %any : PSK "key1"
10.20.0.5 %any : PSK 0x6b657931
10.20.0.5 %any : PSK 0sa2V5MQ==

Ошол блоктогу эки детал эң көп убакыт алат. Он алтылык сандар эки регистрди тең кабыл алат, ошондуктан 0x6b657931 жана 0x6B657931 бирдей маани, бирок так сандагы белгилер четке кагылбастан үнсүз туура эмес окулат, бул кесилген жерден кийинки ар бир байтты жылдырат. Base64 толуктоосу маанинин бөлүгү, ошондуктан акыркы = белгилери жок кыстырылган сап катуу ишке ашпай калуунун ордуна башка байттарга чечмеленет.

Маанини бир жолу чечмелеген профиль аны буга чейин айландырып койгон, ошондуктан кайра чечмелөө башка байттарды жана туура эмес сырсөзгө окшош аутентификация катасын берет. Тырмакча — кандайдыр бир бүдөмүк нерсе үчүн коопсуз багыт, анткени мазмун коддоо белгисинен башталса да сөзмө-сөз бойдон калат.

Base64 тексти кайдан келет

Профиль экспорту жана жеткирүүчү порталдары ачкычты көбүнчө буга чейин коддолгон бойдон беришет, адатта кол менен теруу үчүн эч качан арналбаган маалымат талаасында. Же ошол маанини ачып, чечмеленген текстти тырмакчада сактаңыз, же белгини алдыга коюп, коддолгон бойдон калтырыңыз. Экөөнүн жарымын жасоо — буза турган нерсе. Эки жол тең толук маани көчүрүүдөн аман калганда гана иштейт.

Эки багыт тең бирден буйрук, жана аларды сакталган маанини жараткан так операция катары билетте кармоо жарашат. Аларды ушул тартипте иштетиңиз:

printf '%s' 'a2V5MQ==' | base64 -d
printf '%s' 'key1' | base64

Коддолгон текстти жөнөкөй тексттей кыстыруу — кымбат ката. Файл белгилерди жазылган бойдон так хэштеп, туунду ачкыч өнөктөш эсептегенден болжол менен үчтөн бир узун чыгат, жана ар бир аракет эскертүүсүз ушундай эле ишке ашпайт, анткени талдоочу өзүнө берилген эрежени аткарды.

Ар бир өнөктөш чындыгында кайсы байттарды колдонорун ырастаңыз

Ката сабынан себепти божомолдоонун ордуна адегенде демондун байланышка көз карашын, анан аутентификациянын жыйынтыгын окуңуз. Сакталган узундукту салыштыруу — тез акылга сыярлык текшерүү, анткени коддолгон текст ал билдирген байттардан узун. Анан кайсы инсандык сабы дал келгенин ырастаңыз, анткени туура эмес өнөктөштүн астына салынган туура сыр туура эмес сыяктуу эле ишке ашпайт. Саптардын тартиби муну чечет: биринчи дал келүү жеңет, ошондуктан жогору жакка жакын кең %any сабы жаңы эле оңдогон так сапты үнсүз алмаштырат.

Файл туура болгондон кийин кайра иштетүүнүн ордуна кайра жүктөңүз. ipsec rereadsecrets IKE демонунүн көчүрмөсүн жаңыртат, ал эми swanctl конфигурациясы ыйгарым укуктарды өз буйругу менен жүктөйт. Кайра иштетүү орнотулган ар бир байланышты таштап, сиз жасоого аракет кылган салыштырууну жок кылат.

Бул текшерүүлөрдүн бири да сырды ачыктоону талап кылбайт. Узундук, инсандык тандагыч жана саптын орду ушундай каталардын көбүн түшүндүрөт, бирөөгө он алтылык дамп керек боло электе.

Жыйынтыкты жашырбай файлды өзгөртүңүз

Файлды демондун эсеби менен чектеп, тирүү сырларды билеттерден, чаттан жана экран сүрөттөрүнөн тышкары кармаңыз, анткени кыстырылган ачкыч — диагностика эмес, агым. Ал өзүн жараткан окуядан да узак жашайт.

Конфигурациясын өзүңүз көзөмөлдөгөн кардардан сынап көрүңүз, аутентификациянын ийгиликтүү болгонун, анан туннелдин трафик ташканын ырастаңыз. Кол алышууну оңдоп, маршруттоо бузук бойдон калган кайра жүктөө — башка маселе, жана сыр кыймылы токтогон заматта ал көрүнөт.