OpenVPN tls-crypt-v2: кардар ачкычы жана оролгон blob эмне кылат
tls-crypt-v2 профилинде кардардын башкаруу ачкычы жана аны сервер гана ача алган оролгон көчүрмө бар. Ар бир объектти жана чыгаруунун ар бир кадамын өзүнчө кармаңыз.
tls-crypt-v2 профилин билетке чаптоо, файлда эмне бар экенин санаганга чейин зыянсыз көрүнөт. Кардардын башкаруу каналынын ачкычы ошол эле ачкычтын шифрленген көчүрмөсүнүн жанында турат, ал эми үчүнчү объект — ороп коюучу ачкыч кабыл алуучу серверден эч качан чыкпайт. Бул үчөө сактоо, бөлүшүү жана чыгаруу боюнча ар башка суроолорго жооп берет. Аларды бөлүү көптөгөн саясат талкууларын башталганга чейин эле чечет.
Профиль чындыгында эмнеден турат
tls-crypt-v2нин кардардык жарымы — ачкыч жана анын оролгон көчүрмөсү. Кардар ачык ачкычты башкаруу каналын коргоо үчүн колдонот жана орнотуу учурунда оролгон көчүрмөнү серверге берет, ошондуктан сервер ар бир кардар үчүн ачык көчүрмө сактабай эле ошол ачкычты калыбына келтирет. Ороп коюучу ачкыч ошол калыбына келтирүүнү мүмкүн кылат жана кабыл алуучу тарапка гана таандык. Төмөндөгүлөрдүн баары ушул үч объекттин кайда жашаганынан келип чыгат.
| Object | Where it lives | What can open it | What a leak costs |
|---|---|---|---|
| Server wrapping key | accepting servers only | the unwrap step inside the server | every wrapped copy issued to that group becomes readable |
| Wrapped client key | inside the client profile | the server wrapping key | it names a client and exposes its metadata, but not the key inside |
| Client control key | inside the client profile, usable as-is | the client that owns it | someone can open handshakes as that client until the server refuses the key |
Таблицаны аты боюнча эмес, сактоо боюнча окуңуз, ошондо кесепеттер өзү ачылат. Ороп коюучу ачкычты жоготуу — кымбат окуя, анткени профилде аны кайра кура турган эч нерсе жок жана ак ниеттүү калыбына келтирүү — топту кайра чыгаруу. Сызылып кеткен профиль арзаныраак, бирок алда канча кеңири таралган, анткени адамдар оролгон көчүрмө файлды бөлүшүүгө коопсуз кылат деп ишенип, профилдерди билеттерге чапташат. Эки ийгиликсиздик ар башка жооп талап кылат, ошондуктан объекттер өзүнчө кармалат.
Эмне үчүн оролгон көчүрмө бүт окуя эмес
Профиль пайдалуу кардардык материалды оролгон жупу менен бирге алып жүрөт, ошондуктан сервер үчүн көчүрмөнү коргоо файлды коргоо жөнүндө эч нерсе айтпайт. Blob жөнөтүүгө коопсуз, ал эми жарыялоого коопсуз эмес. Анын ичиндеги метаберилиштер blobду алган ар кимге көрүнөт, анын ичинде ал чапталган билетти кийин окуган адамга да.
Профилди конфигурация үлгүсү эмес, ырастама катары караңыз. Сызылып кеткен файл ээсине сервер бул инсандыкты кабыл алууну токтотконго чейин иштеген кардар инсандыгын берет, ал эми ороп коюу ошол терезе жөнүндө эч нерсе кылбайт. Ар бир кардарга бир профиль чыгарыңыз, ошондо артка чакыруу бир файлдын чечими болуп калат, жана ороп коюучу ачкычтын камдык көчүрмөсүн ал иштеткен сервер конфигурациясынан өзүнчө жасаңыз. Эки адат тең бузулган профилди оңдобойт, бирок экөө тең кийинкиси канчалык тез чектелерин аныктайт.
Текшерүү илгичи кол алышууда кайда турат
Текшерүү илгичи TLS дестеси ачылганга чейин иштейт, анын милдети — оролгон blobдо ташылып жүргөн метаберилиштерди текшерүү. Ал ошол метаберилиштерди жана кичине, документтелген чөйрөнү алат, жана аутентификация илгичине караганда иштеген материалы азыраак. Ал колдонуучу аттарын, сессия абалын же плагин өзгөрмөлөрүн көрө алат деп ойлоо — бул илгичтин начар жазылышынын кадимки жолу. Башка илгичтен күтүүлөрдү карызга албай, илгичтин өзүнүн колдонмо бөлүмүн окуңуз.
Анын чыгуу статусу — чечим: нөлгө барабар эмес жыйынтык кардардан баш тартат, ал эми нөлдүк жыйынтык кол алышууну улантууга жол берет. Ошондуктан саясат метаберилиштер жок болгондо, талдана албаганда же күтүлбөгөндө эмне болорун айтышы керек. Адегенде баш тартуу жолун жазыңыз, анан кайсы баалуулуктар кабыл алынарын чечиңиз.
tls-crypt-v2 /etc/openvpn/server/tcv2-server.key
tls-crypt-v2-verify /etc/openvpn/server/verify-client-metadata.shБул эки сап сервердеги саясат бети: бири ороп коюучу ачкычты атайт, экинчиси ар бир кардарды баалаган программаны атайт. Кызыктуунун баары скриптте жашайт, ал версияларды башкарууга жана башка кандайдыр бир кирүү эрежесиндей карап чыгууга татыктуу.
Эсеп, сертификат жана башкаруу ачкычы өзүнчө чыгат
Башкаруу каналын эрте кабыл алуу — аутентификация эмес, анткени ал TLS инсандыгын текшерүүдөн мурун жана кандайдыр бир эсеп авторизациясынан мурун болот. Эсепти өчүрүү, сертификатты артка кайтаруу жана кардардын башкаруу ачкычынан баш тартуу — үч механизми бар үч аракет. Алардын бирин гана аткарган жайгаштырууда саясат эмес, кемтик бар. Үчөөнү атайын шайкештештириңиз жана кайсы кадам кайсы ыйгарым укукту жүзөгө ашырарын жазып коюңуз.
Убакыт — экинчи айырма. Өзгөргөн кабыл алуу тизмеси жаңы кол алышууларга колдонулат, ал эми мурунтан орнотулган сессиялар бир нерсе аларды токтотконго чейин уланат. Жаңы тизмедеги жазууларды эски сессиялар бүткөндүгүнүн далили катары саноо — өчүрүлгөн кардардын саат бою туташып турушунун жолу.
Шайкештештирилбеген ыйгарым укуктар практикада оңой табылган эки тешик калтырат. Эсеп өчүрүлгөн абалда болушу мүмкүн, ал эми анын башкаруу ачкычы дагы эле кол алышууну ачат, жана сертификат артка кайтарылган болушу мүмкүн, ал эми метаберилиштер саясаты ошол кардарды дагы эле кабыл алат. Экөө тең ар башка жердеги бирдей ката, анткени оператор бир тизмени бүткүл ыйгарым укук деп караган. Өчүрүү убагында үч тизмени катар коюңуз, ката көрүнөт.
Профилди чыгаруу жана артка чакыруу
Чыгаруу — жеңил жарымы: кабыл алуучу тарапта кардар ачкычын түзүңүз, профилди так бир ээсине бериңиз, ороп коюучу материалды чектелүү кармаңыз жана ар бир кабыл алуучу серверде ошол эле текшерүү программасын иштетиңиз. Арзан кабыл алуу — бүт топтун касиети, эң жаңы хосттуку эмес. Эскирээк же бошураак скрипти бар экинчи сервер жайгаштыруунун эң алсыз жолуна унчукпай айланат.
Артка чакыруу үч кадамды атайын тартипте талап кылат. Жаңы кол алышуулар ийгиликсиз болушу үчүн текшерүү илгичинде кардардан баш тартыңыз, эгер PKI колдонулса, анын сертификатын артка кайтарыңыз жана эсепти өчүрүңүз, ошондо кийинки авторизацияда авторизациялоого эч нерсе калбайт. Анан эски кабыл алуу уруксат берген сессияларды токтотуңуз, анткени алар үчөөнүн эч бирин байкабайт. Тартипти бузууга боло турган кардарда машыгыңыз.
Профилдеги метаберилиштер — ошол саясаттын кириши, ал эми кирүүнү көзөмөлдөө мурунтан бар экендигинин далили эмес. OpenVPN 2.6 дизайн документи объекттерди жана алар тарткан чекти сүрөттөйт, ал эми аларды аткаруу операторго калат.