VPN'дин жеке ачкычындагы сырсөз ачкыч фразасы чындыгында эмнени коргойт

VPN кардары ишке киргенде пайда болгон суроону туура эмес окуу оңой. Бул VPN каттоо эсебинин сырсөзү эмес, туннелдин сырсөзү эмес, жана аны киргизүү байланыштын коопсуз экенин далилдебейт. Ал жеке ачкычтын бир сакталган көрүнүшүн ачат, ошондо кардар ачкыч материалын окуп, аны аутентификация үчүн колдоно алат. Андан кийин болгон нерсенин баары башка маселе.

Практикада жооп четтерде бузулат: адамдар сырсөз фразасы иштеп жаткан туннелди коргойт же аны өзгөртүү мурунтан агылган ачкычтын көчүрмөсүн жокко чыгарат деп ойлошот. Эки божомол тең ишке ашпайт, жана экөө тең эсептик жазуу ачык калып, оператор аны чечилди деп ишенгендей ишке ашпайт.

Бир диалог, бир нече ар кандай сыр

Жеке ачкычтын сырсөз фразасы файлды чечет. Каттоо эсебинин сырсөзи сизди кызматка аутентификациялайт. PKCS#12 импорттук сырсөзү ачкыч менен анын сертификатын камтыган топтомду чечет, жана ал ачкычтын өз сырсөз фразасы менен бирдей сап болбошу мүмкүн. Бул суроолор дээрлик окшош көрүнүшү мүмкүн, жана кайсы сыр кайда бараарын болжолдоо ачкычтардын туура эмес талаага жабышып калышына алып келет.

Туннелдин өзүнүн шифрлөөсү төртүнчү нерсе. Дайындар каналы кол кармашуу учурунда сүйлөшүлгөн сессия ачкычтарын колдонот; жеке ачкычтын сырсөз фразасынын жекече пакеттерди коргоодо эч кандай ролу жок. Эгер бирөө ачкыч файлын окуй алса, ал сырсөз фразасын тармактан тышкары божомолдоого аракет кыла алат, бирок пакеттерди окуй алса, сырсөз фразасы маанисиз.

Дисктеги шифрлөө эмнени камтыйт

Шифрленген PEM ачкычы эки формада келет, жана аталыш кайсынысы бар экенин айтат. Заманбап PKCS#8 формасы -----BEGIN ENCRYPTED PRIVATE KEY----- менен башталат; эски OpenVPN жөндөөлөрүндө азыркыга чейин кеңири таралган эски PEM формасы -----BEGIN RSA PRIVATE KEY----- менен башталып, анын так астында Proc-Type: 4,ENCRYPTED жана DEK-Info сабын алып жүрөт. Файл жеке ачкычты сырсөз фразаңыздан алынган ачкычтын астында шифрлеп сактайт, адатта көрсөтүлгөн кайталоо саны же иш коэффициенти бар сырсөзгө негизделген KDF аркылуу. OpenSSL pkey документтери форматтарды жана окуу учурунда колдонулуучу сырсөз фраза параметрлерин камтыйт.

Андан эки кесепет келип чыгат. Алсыз сырсөз фразасына KDF уруксат берген ылдамдыкта тармактан тышкары чабуул жасаса болот, ошондуктан файл шифрленген болсо да файл уруксаттары жана камдык көчүрмөлөргө жетүү маанилүү бойдон калат. Ал эми сырсөз фразасыз гана файлды алган чабуулчу божомолдоого аргасыз; файлды жана сырсөз фразасын бирге алган адам ачкычка ээ, тагыраак айтканда ал эч качан шифрленбегендей.

head -3 vpn.key
openssl pkey -in vpn.key -noout -pubout
openssl pkcs12 -in bundle.p12 -info -noout

head -3 аталышты жана эски файлда шифрлөөнү далилдеген Proc-Type жана DEK-Info саптарын көрсөтөт; бир сап өзү эч бир багытта далил эмес. pkey сабы сырсөз фразасын сурап, ачык жарымын гана басып чыгарат, бул файл менен сырсөз фразасынын иштешин жеке ачкычты ачпастан далилдейт. Бул текшерүү үчүн -text колдонбоңуз: ал жеке компоненттерди, privateExponent, prime1, prime2 жана калганын басып чыгарат, жана бул чыгарылыш эч качан эч жерге коюлбашы керек, билетте да, чатта да, журналда да. PKCS#12 буйругу топтомдо өзүнчө MAC же шифрлөө сырсөзи бар-жогун да айтат, аны кесиптешиңизге берүүдөн мурун билүү пайдалуу.

Ачкыч жүктөлгөндөн кийин ал эмнени коргоону токтотот

Ачуу ошол процесс үчүн бир багыттуу окуя. Кардар KDFтен ачкычты сурайт, файлды чечет жана керектүү убакытка чейин жеке ачкычты эстутумда кармайт. Ошол учурдан баштап сырсөз фразасы иштеп жаткан сессия жөнүндө эч нерсени коргобойт: процесстин эстутумун да, өзөк дампын да, кардарга тиркелген мүчүлүштүктү оңдоо сессиясын да, ачкыч колдонулуп жатканда алынган машинанын камдык көчүрмөсүн да эмес.

Бул сырсөз фразасы бар SSH ачкычынын же сырсөз менеджеринин ачык кампасынын чек арасы менен бирдей. Ал тынч абалдагы файлды уурдоонун баасын жогорулатат жана сиздин колдонуучуңуз катары иштеген зыяндуу программага, кардардан кол коюуну сураган уруксат берилген колдонмого же эстутумду окуй алган администраторго каршы эч нерсе кылбайт. Аны бир катмар катары караңыз, ачкычты кароосуз калтырууну коопсуз кылган көзөмөл катары эмес.

Суроо эмне үчүн кайра-кайра кайтат

Ар бир кайра туташууда кайра сураган кардар сөзсүз бузулган эмес. Кээ бир кардарлар сырсөз фразасын сессия үчүн кэштешет, кээ бирлери аны OS ачкычтар тизмегинде сакташат, ал эми кээ бирлерин аны берүүчү жардамчыга багыттоого болот, ошондуктан ала турган жүрүм-турум кардарга жана анын конфигурациясына байланыштуу, ачкыч файлына эмес.

Эгер кайталанма суроо чыныгы нааразылык болсо, ачкычтан шифрлөөнү алып салуудан мурун кардардын кэштөө жана аутентификация параметрлерин карап чыгыңыз. Сырсөз фразасын алып салуу корголгон файлды ачык текст ачкычына айландырат, жана кайра туташуу сиздеги жалгыз тынч абал көзөмөлүнүн эсебинен тынчылат. Жакшыраак жооп адатта колдоого алынган эсептик маалыматтар кампасы, анда өзүңүз колдонгон файл уруксаттары болот.

Жоготуу жана ашкерелөө бирдей оңдоо эмес

Жоголгон сырсөз фразасын сертификаттан калыбына келтирүү мүмкүн эмес. Сертификат атты ачкычка байланыштырган ачык материал; анда жеке ачкычка кайтуу жолу да, сырсөз фразасы тууралуу эч кандай кеңеш да жок. Практикалык варианттар — ачкычтын уруксат берилген камдык көчүрмөсү же оператордун кадимки процесси аркылуу берилген жаңы инсандык. Сырсөз фразасын 'калыбына келтирүүнү' сунуш кылган ар ким аны божомолдоону сунуш кылат.

Ашкерелөө башка жоопту талап кылат. Ошол эле ачкычты жаңы сырсөз фразасы менен кайра шифрлөө ачкыч материалын өзгөртпөй калтырат, ошондуктан башка жерде ачылган көчүрмө дагы деле иштейт. Оңдоо — эсептик маалыматты жокко чыгаруу же алмаштыруу: жаңы ачкыч жана сертификат чыгарыңыз, таратыңыз жана эскисин өнөктөштө пенсияга чыгарыңыз. Бул болмоюнча, файлдын сырсөзи өзгөртүү үй иши, чектөө эмес. Эски файлды камдык көчүрмөлөрдөн сырткары жаңы инсандык иштегени ырасталгандан кийин гана кармаңыз жана аны кайсы сериялык номери же манжа изи алмаштырганын жазып коюңуз.