Wat openssl dhparam -check iwwerpréift – an wat et iwwersäit

Duerch dhparam -check ze kommen fillt sech wéi en Urteel iwwer d’Diffie-Hellman-Astellung vun Ärem VPN. Dat ass et net. De Kommando vergläicht eng Parameterdatei mat der Arithmetik, déi se angeblech erfëllt, an et seet näischt dorivwer, ob d’Gréisst vun der Grupp zu Ärer Politik passt oder ob den Tunnel déi Datei iwwerhaapt lued. En als Sécherheetsprüfung ze liesen ass d’Annam déi een als éischt korrigéiere sollt.

Eng Parameterdatei hält eng Primzuel an en Generator. Validitéit ass eng Eegenschaft vun dësen Zuelen, wärend Stäerkt en Urteel iwwer Ären Drohungsmodell an Är Géigeniwwer ass, an déi zwee sinn net austauschbar.

Wat d’Validitéitskontroll tatsächlech bestätegt

Féiert d’Kontroll op der Datei aus, déi Dir hutt, a liest d’Äntwert. openssl dhparam -in dh.pem -check -noout mécht d’Parameterkontrollen a verdreift déi encodéiert Ausgab. Eng Noriicht, datt d’Parametere gutt ausgesinn, bedeit, datt d’Wäerter strukturell konsequent sinn; et bedeit net, datt eng kuerz Grupp an Ärem Ëmfeld akzeptabel ass.

Generéiere ouni -dsaparam gëtt sécher Primzuelen, wou (p-1)/2 och eng Primzuel ass, dofir dauert et sou laang. De Wee am DSA-Stil baut Parameter méi séier a wandelt se an DH-Form ëm, an d’OpenSSL-Handbuch verbënnt zousätzlech Ufuerderunge fir frësch Schlësselen domat. Keng vun den zwou Konstruktioune ass e Sessiounsgeheimnis: d’Datei ass ëffentlecht Konfiguratiounsmaterial, net de private Schlëssel vum Zertifikat an net dee gedeelte Geheimnis vum Kontrollkanal.

Liest d’Gréisst an de Generator, ier Dir d’Datei beurteelt

En Validitéitsresultat bedeit méi, wann Dir wësst wat validéiert gouf. Dréckt d’Parameter mat openssl dhparam -in dh.pem -text -noout aus, an notéiert dann d’Längt vun der Primzuel an de Wäert vum Generator.

Vergläicht déi Längt mat enger geschriwwener Politik amplaz mat enger Gewunnecht. Wann Är Ufuerderung eng genehmegt genannte Grupp aus engem moderne TLS-Stack ass, kann eng vun Hand generéiert Datei dat ganz falscht Artefakt sinn. Schreift béid Zuelen an de Changementsprotokoll, sou datt den nächsten Iwwerpréiwer se net nach eng Kéier ofleide muss.

Maacht aus enger Inspektioun keng Neigeneréierung

De Fehlermodus hei ass e Kommando dee wéi eng Kontroll ausgesäit a sech wéi en Generator verhält. Eng Bitlängt bäisetzen, wéi an openssl dhparam -check 2048, freet nei Parameter un an d’Inputdatei gëtt ignoréiert. Eng Generatoroptioun kann dat selwecht maachen. Wann Dir just wëllt kucken, gitt -in an -check an näischt wat eng Gréisst beschreift.

D’Ausgab iwwer den originale Pad ze schreiwen verdéngt deeselwechten Zweiwel, well d’Handbuch warnt, datt Dateiausgab net atomar ass. E Crash mëtt am Schreiwen hannerléisst eng ofgeschnidden Parameterdatei an e Service, deen net start.

Passt d’Grupp un de Protokoll un, net un en Trend

D’Gréisstepolitik ass eng Entscheidung, déi den Apparat net fir Iech liese kann. Eng Grupp iwwer engem endleche Feld mat 2048 Bit ass eng üblech Ënnergrenz an méi grouss Gruppe kaschte Handshake-Zäit, also wielt déi Zuel déi Är eege Basislinn nennt a schreift se op. Vill benotzt Gruppe si net schwaach well se ëffentlech sinn; Onbekanntheet bäisetzt hei näischt.

Wou den Stack genehmegt genannt Gruppe ënnerstëtzt, befollegt déi dokumentéiert Uerdnung amplaz ongewéinlech Parameter ze generéieren, sou datt se eenzegaarteg ausgesinn. Eng genannt Grupp ass eppes wat en Géigeniwwer erkenne kann an en Iwwerpréiwer nofroen, wat méi wäert ass wéi eng extra gemaachten Datei déi keen klassifizéiere kann.

Bestätegt, datt de VPN d’Datei iwwerhaapt lued

Eng korrekt Parameterdatei, déi keen Prozess liest, ännert näischt. An OpenVPN ass d’Serversdirektiv dh mat engem Pad, an Deployementer déi op ECDH oder TLS 1.3-Schlësselaustausch setzen, kënne amplaz dh none setzen. Kontrolléiert d’laafend Konfiguratioun amplaz en Template, a bestätegt duerno, datt Cliente a Géigeniwwer déi selwecht Konstruktioun verhandelen.

Schléisst de Krees mat de Beweiser déi Dir wierklech braucht: d’Grupp déi den Tunnel ausgehandelt huet, d’Parameterlängt an der Datei an d’Politiklinn déi déi Längt erfëllt. Eng bestanene Kontroll gehéiert als een eenzegen Element op déi Lëscht. Se als déi ganz Äntwert ze behandelen ass de Wee wéi eng kuerz Grupp eng Prüfung iwwerlieft déi se hätt solle fänken.