Статикалык ачкыч файлындагы бит саны OpenVPN шифрынын күчү эмес

Сканер же кесиптеш OpenVPN статикалык ачкыч файлынын ичинде басылган бит санын көрсөтүп, туннель эмне үчүн ушундай өлчөмдөгү шифрди колдонбойт деп сурайт. Суроо акылга сыярлык угулат, ал эми жооп сан эмес: баннер сакталган ачкыч материалын санайт, шифр болсо өз ачкычынын өлчөмү талап кылган бөлүгүн гана сарптайт. Бул сумманы күч жөндөөсү катары кабылдоо эч нерсени өзгөртпөгөн оңдоолорго алып келет. Формат кандайдыр бир алгоритм колдонгондон көбүрөөк материал кармоо үчүн курулган.

Бул жерде эки суроо аралашат: файл канча ачкыч материалын сактайт жана келишилген шифр канчалык күчтүү. Туннелди экинчиси гана сүрөттөйт.

Баннердеги сан чындыгында эмнени санайт

Контейнер шифр материалын жана HMAC материалын өзүнчө түзүлүштөр катары иреттейт, эки багыттуу форма эки ушундай топтомду кармайт, ошондуктан ар бир багыт өз ачкычтарын алып жүрө алат. Жазуучу код басылган санды иреттелген түзүлүштөрдүн санынан, алардын өлчөмүнөн жана ар бир байтка сегиз биттен чыгарат. Бул сактоого карата арифметика, бир шифр ар бир сакталган байтты сарптайт деген ырастоо эмес. Башжазуу ошондой эле шифр материалынын эң чоң бөлүнүшүн бекитет, ошондуктан китепкана өзгөрүүсү форматтын өлчөмүн үнсүз өзгөртө албайт.

Муну сертификат ачкычы менен салыштырыңыз, ал жерде бит саны чындыгында бир объектинин өлчөмүн сүрөттөйт. 4,096 биттик RSA ачкычы жана баннеринде 4,096 бит деп жазылган ачкыч файлы ар башка иштери бар ар башка нерселер, аларды бир тутканын эки жөндөөсү катары теңдештирүү жаман тыянактарга алып келет.

Бир файлда эки ачкыч топтому

Файлдын ар бир жарымы шифрлоо жана аутентификация материалын берет, анткени алдын ала бөлүшүлгөн ачкыч режими пакеттерди эки багытта тең ушул өзүнчө бөлүктөр менен коргойт. Активдүү шифр өз ачкычынын өлчөмү талап кылган байттарды гана колдонот, ал эми дайджест өзүнүн чыгуу өлчөмүн колдонот, ошондуктан пайдалуу күч файлдын узундугунан эмес, параметрлерден келет. Он алтылык блокту узартуу конфигурацияланган алгоритмден андан көбүрөөк сарптоону талап кылбайт. Түшүндүрмөнү чоңураак сан менен оңдоо андан да аз өзгөртөт.

Эгер чындыгында узунураак ачкыч керек болсо, өзгөртүлүүчү жөндөө — шифр же дайджест, ал эми генератор тандалган алгоритмдерге керектүүнү өндүрөт.

Профилди окуу кайсы режимде экениңизди айтат

Ошол эле файл форматы эки таптакыр башка ишке кызмат кылат, кайсынысы сизде экенин профиль гана айтат. Эски secret сабы файлды туннелдин жалгыз ачкыч материалына айландырат, ал эми tls-auth же tls-crypt аны сертификаттар менен катар башкаруу каналынын коргоосуна айландырат. Эки колдонуунун эч бири аны кардар сертификатынын жеке ачкычына айландырбайт, блок канчалык окшош көрүнсө да. Алмаштыргыч жасоодон мурун параметрди жана версияны аныктаңыз, белги кошуунун ордуна документтелген генераторду колдонуңуз.

Бул айырма ашкереленүүгө болгон жоопту да аныктайт. Сызган tls-auth ачкычы сессия ачкычтарын ачпайт, бирок чабуулчуга башкаруу каналынын трафигин киргизүүгө мүмкүндүк берет, ошондуктан аны баары бир алмаштыруу керек. Сызган secret ачкычы жаман, анткени ал маалыматтарды өзүн коргогон материал эле.

Коопсуздук текшерүүсү эмнени жазышы керек

Үч нерсени өз-өзүнчө жазыңыз: келишилген маалымат каналынын коргоосу, башкаруу каналынын коргоосу жана теңдештердин кантип аутентификацияланышы. data-ciphers AES-256-GCM сыяктуу сап биринчисин гана сүрөттөйт, ал жерде токтогон отчёт башкаруу каналынын такыр корголгонун жооп бере албайт. Статикалык ачкыч файлы tls-auth же tls-crypt менен колдонулганда экинчи категорияга кирет, колдонулбаганда эч кимисине кирбейт. Категорияларды аралаштырган сынчылар күчтүүрөөк шифр каалаганда чоңураак ачкыч файлын сурашат.

Эгер файл ашкереленсе, аны айландырыңыз жана бекитилген канал аркылуу кайра таратыңыз. Бузулган сырга белги кошуу айландыруу эмес, ал ашкереленген материалды жарактуу бойдон калтырат.

Айландыруу жазуусун ал тиешелүү болгон профиль менен бирге сактаңыз. Кийинки текшерүү мындай деп сурайт кайсы ачкыч кайсы мезгилди коргоду, ал эми баннер ага жооп бербейт.