Ar tas paskelbtas OpenVPN raktas yra CA, porininko raktas ar tls-auth?

Kažkas praneša, kad VPN raktas yra viešas, ir tas sakinys slepia tris visiškai skirtingas situacijas. Tai gali būti CA sertifikatas, kurį turėtų turėti kiekvienas klientas, privatus tapatybės raktas, kuris niekada neturėjo palikti vienos mašinos, arba bendras valdymo kanalo slaptažodis, kurį turi saugoti abu galai. Taisymas, skubumas ir žalos mastas kiekvienu atveju skiriasi, todėl pirmasis uždavinys yra klasifikavimas, o ne veiksmas. Suklydus dėl kategorijos, kiekvienas tolesnis žingsnis yra veltui eikvojamas darbas.

Pradėkite nuo direktyvos, o ne nuo failo pavadinimo

Perskaitykite aktyvią konfigūraciją ir raskite, kuri direktyva nurodo atitinkamą medžiagą. OpenVPN TLS parinktys naudoja ca patikimai sertifikatų medžiagai, cert vietinio porininko sertifikatui ir key jam priklausančiam privačiam raktui.

Failų pavadinimai nieko neįrodo. Faile, pavadintame key.pem, gali būti sertifikatas, o profilyje įterptas blokas gali turėti lygiai tą patį objektą kaip atskiras failas diske. Atidarykite failą ir pažiūrėkite į jo antraštę, o ne pasikliaukite pavadinimu. Šis vienas patikrinimas pašalina didžiąją dalį ataskaitos neaiškumo.

Jei profilis yra PKCS#12 paketas, išskleiskite jį kontroliuojamoje vietoje, kad pamatytumėte, ką jis iš tikrųjų turi. Vienas paketas gali nešti sertifikatą, jo grandinę ir privatų raktą, o tai reiškia, kad paketo nutekėjimas yra visų trijų nutekėjimas.

Užrašykite klasifikaciją prieš kam nors keičiant failą: objektas, direktyva, kurie porininkai jį turi ir kas gali jį skaityti. Nuo šio sakinio priklauso likusi atsakymo dalis.

CA sertifikatas skirtas bendrinti

Viešas CA sertifikatas yra pasitikėjimo medžiaga. Klientams jo reikia serveriui patikrinti, o jo platinimas yra įprastas atvejis, o ne incidentas. Jo paskelbimas nepaskelbia CA privataus parašo rakto, o būtent tas objektas leistų užpuolikui kurti naujas tapatybes.

Šį skirtumą verta aiškiai įrašyti į bilietą, nes abu nuolat painiojami. Klausimas, į kurį reikia atsakyti, yra ar nutekėjęs failas yra sertifikatas, ar parašo raktas, ir greitas žvilgsnis į failo turinį tai išsprendžia. Sertifikate yra viešas raktas ir parašas; parašo rakto jame visai nėra.

Platinimas vis tiek nusipelno atidumo. Klientai sertifikatą turėtų gauti patvirtintu profilių pristatymo keliu, o ne iš įklijavimo svetainės, o sertifikatas, atėjęs nepatikimu keliu, gali būti pakeistas kelyje.

Porininko raktas ir tls-auth slaptažodis nėra

Porininko privatus raktas yra tapatybės medžiaga. Kai jis nukopijuojamas, serveris nebegali atskirti numatyto įrenginio nuo bet kurio, kas turi kopiją, nes išimtinis turėjimas buvo ta savybė, kuri buvo įrodoma. Autorizacijos tęsimas ir pakeitimas yra VPN savininko sprendimai, o ne to, kas rado failą.

tls-auth slaptažodis yra trečias dalykas. Jis prideda HMAC autentifikaciją aplink valdymo kanalo paketus, kad neteisingai autentifikuoti paketai būtų atmetami prieš TLS mainus, ir tai nėra nei porininko privatus raktas, nei raktas, kuris šifruoja programos duomenis.

Jei tas bendras slaptažodis yra viešas, jo suteikta užtvara dingo visiems, kas jį turi. Iš to neišplaukia, kad kiekvienas turėtojas praeina už jos esančias sertifikato ir vartotojo patikras, todėl klasifikavimas svarbesnis už aliarmo lygį. Pasakykite, kuri užtvara krito, ir pasakykite, kurios liko.

Taisykite nutekėjusį vaidmenį, o ne kaimyninį

Bendro slaptažodžio neįmanoma vėl padaryti privataus pervadinant failą ar paslepiant atsisiuntimo nuorodą. Pakeitimas reiškia naujos reikšmės sukūrimą ir jos paskirstymą kiekvienam porininkui koordinuotu pakeitimu, o pakeitus tik vieną pusę sutartis sugenda visiems, kas dar turi seną reikšmę.

Jei porininko tapatybė buvo atskleista, naudokite operatoriaus atšaukimo ir pakartotinės registracijos procesą tai tapatybei. Nesusijusios paskyros slaptažodžio pakeitimas nepanaikina nukopijuoto sertifikato, o tls-auth failo pakeitimas taip pat ne.

Prieš pasikliaudami bet kuo iš to, patvirtinkite, ką įdiegtas serveris iš tikrųjų vykdo. Atšaukimo sąrašas, kuris neatnaujinamas, arba vaidmens patikra, kuri buvo išjungta sutrikimo metu, visiškai pakeičia atsakymą. Skaitykite veikiančią konfigūraciją, o ne saugyklos kopiją.

Vertinkite praėjusį srautą pagal jo paties sąlygas

Atskleistas failas pats savaime nepasako, ar anksčiau užfiksuotos sesijos gali būti iššifruotos. Tai priklauso nuo rakto nustatymo metodo, atskleistos medžiagos ir nuo to, kokie įrašai egzistuoja, o ir „visas srautas prarastas“, ir „nieko neatsitiko“ yra spėlionės be šių faktų.

Neskelbkite dar vienos kredencialų kopijos, kol klausiate, kuriai kategorijai jie priklauso. Vietoj to pasidalykite direktyvų pavadinimais ir ne slaptais metaduomenimis patvirtintu palaikymo keliu.

Naudinga išvada įvardija objektą, jo vaidmenį, prarastą apsaugą ir reikalingą koordinuotą veiksmą. Viskas, kas trumpiau, yra antraštė, o ne vertinimas.