OpenVPN-Paket: HMAC-Authentifikatioun fehlgeschloen – wéi eng Schicht?

Zwee Feeler gi mat der selwechter Vokabular gemellt an hu bal näischt gemeinsam. Dee een ass e Paket, deem säin Authentifikatiouns-Tag net verifizéiert gouf; deen aneren ass eng Persoun, deenen hir Umeldungsdaten ofgeleent goufen. Den éischten als deen zweeten ze behandelen, schéckt Iech no engem Passwuert sichen, dat niemools de Problem war.

D’Meldung nennt eng Schicht, an déi nëtzlech Aarbecht ass ze entscheeden wéi eng, ier Dir iergendeen Material ersetzt. D’Kandidaten niewenteneen vergläichen ass de séierste Wee fir den Ënnerscheed ze gesinn.

Zwee Feeler, déi e Wuert deelen

E Paket-Authentifikatiounsfeeler entsteet während der Veraarbechtung vum Verkéier: en Tag oder Digest op engem empfaangene Paket huet net mat deem iwwerenee gestëmmt, wat den Empfänger berechent hat. Eng Kont-Ablehnung geschitt, nodeem en Login-Austausch analyséiert gouf, an si nennt engem Benotzer anstatt engem Paket. Eng drëtt Meldung, iwwer d’Onméiglechkeet en HMAC an engem agoende Paket ze fannen, ass nees anescht, well do ass de Paket komplett ouni dat erwaartent Authentifikatiounselement ukomm. De komplette Log-Prefix seet Iech wéi ee vun den dräi Dir hutt, an de Prefix ass meeschtens dat éischt, wat ewechgeholl gëtt, wann e Feeler an en Ticket agebaut gëtt.

Den Ënnerscheed ännert d’Reparatur. Dee een verlaangt passend Kanal-Astellunge, deen aneren de Kontstatus, an den drëtten e Profil, dee net zum Listener passt, deen en erreecht huet.

Vergläicht, wat de lafende Prozess tatsächlech gelueden huet

Eng korrekt Datei op der Plack beweist näischt iwwer e Prozess, deen ugefaang huet, ier se geännert gouf. Kontrolléiert de gewielte Profil, den Endpunkt, mat deem en a Kontakt war, an ob den Déngscht zënter der Ännerung nei gelueden gouf. Bestätegt och, datt den Endpunkt zum Profil gehéiert, well eng aner Instanz oder en aneren Déngscht kann do lauschteren, wou déi al Datei eppes anescht erwaart.

En ënnerstëtzte Profil aus der selwechter Quell erëm z’exportéieren ass e bëllegen Verglach, well en d’Ofwäichung tëscht deem, wat Dir mengt konfiguréiert ass, an deem, wat de Client tatsächlech schéckt, ewechhëlt. Frëscht Schlësselmaterial ze generéieren ass e vill gréisseren Schrëtt, an et hëlleft nëmme wa béid Säiten et zesummen unhuelen. Eng Säit lokal z’ersetzen erstellt genau déi Net-Iwwerenstëmmung erëm, déi Dir probéiert hutt ewechzehuelen.

Vergläicht de Steierkanal mam Datenkanal

Zwee Mechanismen authentifizéieren ënnerschiddlech Deeler vun enger Verbindung a ginn separat konfiguréiert, wéi de 2.6-Optiounen-Referenz beschreift. tls-auth setzt en HMAC op d’Steierkanalpaken a hëlt e Richtungsargument, dat op deenen zwee Peers entgéintgesat musse sinn, während tls-crypt de Steierkanal amplaz mat engem gedeelte Schlëssel schützt. Weder dat engt nach dat anert ass d’Integritéitskontroll vum Datenkanal selwer. Bei engem AEAD-Datenchiffrement ass déi Kontroll direkt am Chiffrement integréiert, sou datt den separate auth Digest net sou benotzt gëtt wéi bei engem Chiffrement, dat net AEAD ass.

Wat bedeit, datt eng auth Linn, déi aus enger funktionéierender Net-AEAD-Installatioun kopéiert gouf, an enger AEAD-Installatioun irrelewant ka sinn, an eng AEAD-Installatioun kann nach ëmmer um Steierkanal fehlschloen, wann de tls-auth Schlëssel oder seng Richtung falsch ass. Vergläicht all Astellung mam Peer anstatt mat enger erënneter Konfiguratioun.

Vergläicht d’Korrektur mat der Eegeschaft, déi Dir opgitt

Paket-Authentifikatioun auszeschalten, berouegt d’Warnung an hëlt déi Kontroll ewech, déi d’Iwwerenstëmmung fonnt huet, wat net datselwecht ass wéi de Profil ze reparéieren. Frot, wéi eng Eegeschaft Dir opgitt, an ob den Design nach hält ouni si.

Liest dat éischt relevant Evenement op béide Säiten, ier Dir eppes ännert, an ännert duerno nëmmen d’Iwwerenstëmmung, déi et nennt.

Wann deen nächsten Versuch bis zu engem Zertifikats- oder Login-Feeler kënnt, ass dat Fortschrëtt an net Réckschrëtt: d’Pakketschicht ass elo eens, an d’Verbindung ass virugang. Schreift d’Astellunge op, déi d’Ännerung produzéiert hunn, sou datt déi nächst Persoun eng Erklärung amplaz vun engem Rätsel ierft.