Ass dee publizéierten OpenVPN-Schlëssel eng CA, e Peer-Schlëssel oder tls-auth?

Et mellt een, de VPN-Schlëssel wier ëffentlech, an dee Saz verstoppt dräi komplett verschidde Situatiounen. Et kann en CA-Zertifikat sinn, deen all Client sollt hunn, en private Identitéitsschlëssel, deen ni eng Maschinn sollt verlooss hunn, oder e gemeinsamt Geheimnis vum Steierkanal, dat béid Säiten hale mussen. D'Reparatur, d'Dringlechkeet an de Schuedensradius ënnerscheede sech a jidem Fall, dofir ass déi éischt Aufgab d'Klassifikatioun an net d'Aktioun. Wien d'Kategorie falsch bestëmmt, fir dee sinn all weider Schrëtt verschwend Muecht.

Fänk bei der Direktiv un, net beim Dateinumm

Lies déi aktiv Konfiguratioun a fann eraus, wéi eng Direktiv op de betraffene Material weist. D'TLS-Optioune vun OpenVPN benotze ca fir vertrauenswürdegt Zertifikatsmaterial, cert fir den Zertifikat vum lokale Peer an key fir de private Schlëssel, deen dozou gehéiert.

Dateinimm beweise näischt. Eng Datei mam Numm key.pem kann en Zertifikat enthalen, an en agebauten Block am Profil kann genau dat selwecht Objet enthalen wéi eng separat Datei op der Plack. Maach d'Datei op a kuck op hire Header, amplaz dem Numm ze vertrauen. Déi eng Kontroll hëlt de gréissten Deel vun der Onkloerheet am Rapport ewech.

Wann de Profil e PKCS#12-Bündel ass, pack en op enger kontrolléierter Plaz aus, fir ze gesinn wat wierklech dran ass. Een eenzege Bündel kann en Zertifikat, seng Kette an e private Schlëssel droen, wat bedeit, datt e Leck vum Bündel e Leck vun allen dräi ass.

Schreif d'Klassifikatioun op, ier een eng Datei ännert: Objet, Direktiv, wéi eng Peers se halen a wien se liese kann. Vun deem Saz hänkt de Rescht vun der Äntwert of.

En CA-Zertifikat ass geduecht gedeelt ze ginn

En ëffentlechen CA-Zertifikat ass Vertrauensmaterial. Cliente brauchen en, fir de Server ze verifizéieren, an en ze verdeelen ass de normale Fall an net en Tëschefall. En ze publizéieren publizéiert net de private Signaturschlëssel vun der CA, an genau deen Objet géif engem Ugräifer erlaben, nei Identitéiten ze schafen.

Dee Grondsaatz gehéiert expressiv an den Ticket, well déi zwee stänneg verwiesselt ginn. D'Fro, déi ze beäntweren ass, ass ob déi geléckte Datei den Zertifikat oder de Signaturschlëssel ass, an e kuerze Bléck an den Inhalt vun der Datei klärt dat. En Zertifikat dréit en ëffentlechen Schlëssel an eng Ënnerschrëft; de Signaturschlëssel kënnt doranner guer net vir.

D'Verdeelung verdéngt awer nach Suergfalt. Cliente sollten den Zertifikat iwwer de geneemten Wee fir d'Profilausliwwerung kréien, net vun enger Paste-Säit, an en Zertifikat, deen iwwer en onvertrauenswürdege Wee ukomm ass, kann ënnerwee ersat ginn.

E Peer-Schlëssel an e tls-auth-Geheimnis sinn net

De private Schlëssel vun engem Peer ass Identitéitsmaterial. Soubal en kopéiert ass, kann de Server dat virgesinn Apparat net méi vun all deem ënnerscheeden, deen d'Kopie huet, well den exklusive Besëtz war déi Eegenschaft, déi bewisen gouf. Weider Autorisatioun an Ersatz sinn Entscheedunge vum VPN-Besëtzer, net vun deem, deen d'Datei fonnt huet.

En tls-auth-Geheimnis ass eng drëtt Saach. Et bäit eng HMAC-Authentifikatioun ëm d'Pakete vum Steierkanal, sou datt falsch authentifizéiert Pakete virun engem TLS-Austausch verworff ginn, an et ass weder de private Schlëssel vum Peer nach de Schlëssel, deen d'Applikatiounsdaten verschlësselt.

Wann dat gemeinsamt Geheimnis ëffentlech ass, ass d'Barriär, déi et gebueden huet, fir jiddereen fort, deen et huet. Et follegt net, datt all Besëtzer d'Zertifikats- an d'Benotzerpréifungen hannendrun besteet, dofir ass d'Klassifikatioun méi wichteg wéi d'Alarmniveau. So, wéi eng Barriär gefall ass, a so, wéi eng nach bleiwen.

Reparéier d'Roll, déi geléckt huet, net eng Nopesch

E gemeinsamt Geheimnis kann net erëm privat gemaach ginn, andeems een d'Datei ëmbenennt oder den Download-Link verstoppt. Ersatz heescht en neie Wäert ze generéieren an en an enger koordinéierter Ännerung un all Peer ze verdeelen, an nëmmen eng Säit ze ersetzen zerbriecht d'Ofmachung fir all déi, déi nach den ale Wäert hunn.

Wann eng Peer-Identitéit opgedeckt gouf, benotz dem Bedreiwer säi Widderruff- a Reenregistratiounsprozess fir déi Identitéit. D'Ännere vun engem onverbonne Kontpasswuert mécht e kopéierten Zertifikat net ongülteg, an den Austausch vun der tls-auth-Datei och net.

Bestäteg, wat de deployten Server tatsächlech duerchsetzt, ier s du op eppes dovun vertraust. Eng Widderrufflëscht, déi net aktualiséiert gëtt, oder eng Rollenpréifung, déi wärend enger Stéierung desaktivéiert gouf, ännert d'Äntwert komplett. Lies déi lafend Konfiguratioun an net d'Kopie am Repository.

Beuerteel de vergaangenen Trafick no sengen eegene Bedingungen

Eng opgedeckt Datei seet fir sech selwer net, ob virdrun opgeholl Sessiounen entschlësselt kënne ginn. Dat hänkt vun der Schlësselopbau-Method, vum opgedeckte Material a vun deem of, wéi eng Opzeechnungen et gëtt, an souwuel „den ganzen Trafick ass verluer“ wéi och „et ass näischt geschitt“ si Vermutungen ouni déi Fakten.

Post net nach eng Kopie vun de Kredentialien, wärend s du frees, a wéi eng Kategorie se gehéieren. Deel amplaz d'Nimm vun den Direktiven an net-geheim Metadaten iwwer de geneemten Support-Wee.

D'nëtzlech Konklusioun nennt den Objet, seng Roll, de verluerene Schutz an déi noutwendeg koordinéiert Aktioun. Alles méi Kuerz ass eng Iwwerschrëft an net eng Bewäertung.