OpenVPN пакетинин HMAC аутентификациясы ишке ашпады: кайсы деңгээл?

Эки ката бир эле лексика менен билдирилет жана алардын дээрлик эч нерсеси жалпы эмес. Бирөө — аутентификация белгиси текшерилбеген пакет; экинчиси — эсептик маалыматы четке кагылган адам. Биринчисин экинчиси деп кабыл алуу сизди эч качан көйгөй болбогон сырсөздү издөөгө жөнөтөт.

Билдирүү деңгээлди атайт, ал эми пайдалуу жумуш — кандайдыр бир материалды алмаштыруудан мурун кайсы деңгээл экенин чечүү. Тандоолорду катар коюп салыштыруу айырманы көрүүнүн эң тез жолу.

Бир сөздү бөлүшкөн эки ката

Пакет аутентификациясынын катасы трафикти иштетүү учурунда пайда болот: алынган пакеттеги белги же дайджест кабыл алуучу эсептегенге дал келбеди. Аккаунттан баш тартуу кирүү алмашуусу талдангандан кийин болот жана пакетти эмес, колдонуучуну атайт. Үчүнчү билдирүү, кирүүчү пакеттен HMAC табылбаганы тууралуу, дагы башкача, анткени ал жерде пакет күтүлгөн аутентификация элементи жок келген. Толук журнал префикси үчөөнүн кайсынысы бар экенин айтат, ал эми префикс адатта катаны тикетке койгондо биринчи өчүрүлүүчү нерсе.

Айырма оңдоону өзгөртөт. Бирөө канал жөндөөлөрүнүн дал келишин, экинчиси аккаунттун абалын, үчүнчүсү жеткен угуучуга туура келбеген профилди талап кылат.

Иштеп жаткан процесс чындыгында эмнени жүктөгөнүн салыштырыңыз

Дисктеги туура файл ал түзөтүлгөнгө чейин башталган процесс жөнүндө эч нерсени далилдебейт. Тандалган профилди, байланышкан акыркы чекитти жана өзгөрүүдөн кийин кызмат кайра жүктөлгөнүн текшериңиз. Акыркы чекит ошол профилге таандык экенин да ырастаңыз, анткени эски файл башка нерсени күткөн жерде башка инстанция же башка кызмат угуп турушу мүмкүн.

Колдоого алынган профилди ошол эле булактан кайра экспорттоо арзан салыштыруу, анткени ал конфигурацияланган деп ойлогонуңуз менен кардар чындыгында жөнөткөн нерсенин ортосундагы четтөөнү жок кылат. Жаңы ачкыч материалын жаратуу алда канча чоң кадам жана эки тарап аны чогуу кабыл алса гана жардам берет. Бир тарапты жергиликтүү алмаштыруу сиз жок кылмак болгон дал келбестикти кайра жаратат.

Башкаруу каналын маалымат каналы менен салыштырыңыз

Эки механизм байланыштын ар кандай бөлүктөрүн аутентификациялайт жана өзүнчө конфигурацияланат, 2.6 параметрлер колдонмосу сүрөттөгөндөй. tls-auth башкаруу каналынын пакеттерине HMAC кошот жана эки өнөктөштө карама-каршы болушу керек багыт аргументин алат, ал эми tls-crypt башкаруу каналын анын ордуна жалпы ачкыч менен коргойт. Экөө тең маалымат каналынын өзүнүн бүтүндүк текшерүүсү эмес. AEAD маалымат шифринде бул текшерүү шифрге камтылган, ошондуктан өзүнчө auth дайджест AEAD эмес шифрдегидей колдонулбайт.

Бул дегенди билдирет, иштеп жаткан AEAD эмес жайгаштыруудан көчүрүлгөн auth сап AEAD жайгаштыруусунда маанисиз болушу мүмкүн, жана AEAD жайгаштыруусу башкаруу каналында дагы эле ишке ашпашы мүмкүн, эгер tls-auth ачкыч же анын багыты туура эмес болсо. Ар бир жөндөөнү эсте калган конфигурация менен эмес, өнөктөш менен салыштырыңыз.

Оңдоону баш тарткан касиет менен салыштырыңыз

Пакет аутентификациясын өчүрүү эскертүүнү тынчытат жана дал келбестикти тапкан текшерүүнү алып салат, бул профилди оңдоо менен бирдей эмес. Кандай касиеттен баш тартып жатканыңызды жана долбоор ансыз туруштук береби, ошону сураңыз.

Бир нерсени өзгөртүүдөн мурун эки тараптагы биринчи тиешелүү окуяны окуңуз, андан кийин ал атаган дал келбестикти гана өзгөртүңүз.

Эгер кийинки аракет сертификат же кирүү катасына жетсе, бул артка чегинүү эмес, илгерилөө: пакет катмары эми макулдашат жана байланыш илгери кетти. Өзгөрүүнү пайда кылган жөндөөлөрдү жазып кой, кийинки адам табышмак эмес, түшүндүрмө мураска алсын.