Vai šī publicētā OpenVPN atslēga ir CA, partnera atslēga vai tls-auth?

Kāds ziņo, ka VPN atslēga ir publiska, un šis teikums slēpj trīs pilnīgi atšķirīgas situācijas. Tas var būt CA sertifikāts, kam jābūt katram klientam, privāta identitātes atslēga, kurai nekad nevajadzēja atstāt vienu mašīnu, vai kopīgs vadības kanāla noslēpums, kas jāsaglabā abiem galiem. Labošana, steidzamība un bojājumu apjoms katrā gadījumā atšķiras, tāpēc pirmais uzdevums ir klasifikācija, nevis rīcība. Ja kategorija būs nepareiza, katrs nākamais solis būs veltīgs darbs.

Sāciet ar direktīvu, nevis ar faila nosaukumu

Izlasiet aktīvo konfigurāciju un atrodiet, kura direktīva norāda uz attiecīgo materiālu. OpenVPN TLS opcijas izmanto ca uzticamam sertifikāta materiālam, cert vietējā partnera sertifikātam un key tam piederošajai privātajai atslēgai.

Failu nosaukumi neko nepierāda. Failā ar nosaukumu key.pem var būt sertifikāts, un profilā iegultā blokā var būt tieši tāds pats objekts kā atsevišķā failā diskā. Atveriet failu un aplūkojiet tā galveni, nevis uzticieties nosaukumam. Šī viena pārbaude novērš lielāko daļu neskaidrības ziņojumā.

Ja profils ir PKCS#12 pakotne, izpakot to kontrolētā vietā, lai redzētu, ko tā patiešām satur. Viena pakotne var saturēt sertifikātu, tā ķēdi un privāto atslēgu, kas nozīmē, ka pakotnes noplūde ir visu trīs noplūde.

Pierakstiet klasifikāciju, pirms kāds maina failu: objekts, direktīva, kuri partneri to glabā un kas to var lasīt. No šī teikuma ir atkarīga pārējā atbilde.

CA sertifikāts ir paredzēts koplietošanai

Publisks CA sertifikāts ir uzticības materiāls. Klientiem tas nepieciešams servera pārbaudei, un tā izplatīšana ir normāls gadījums, nevis incidents. Tā publicēšana nepublisko CA privāto parakstīšanas atslēgu, un tieši šis objekts ļautu uzbrucējam radīt jaunas identitātes.

Šo atšķirību ir vērts skaidri pierakstīt pieteikumā, jo abus pastāvīgi jauc. Jautājums, uz kuru jāatbild, ir vai noplūdušais fails ir sertifikāts vai parakstīšanas atslēga, un ātrs ieskats faila saturā to izšķir. Sertifikāts satur publisko atslēgu un parakstu; parakstīšanas atslēga tajā nemaz neparādās.

Izplatīšana tomēr prasa rūpību. Klientiem sertifikāts jāiegūst pa apstiprināto profila piegādes ceļu, nevis no ielīmēšanas vietnes, un sertifikātu, kas pienāk pa neuzticamu ceļu, var aizstāt ceļā.

Partnera atslēga un tls-auth noslēpums nav

Partnera privātā atslēga ir identitātes materiāls. Kad tā ir nokopēta, serveris vairs nevar atšķirt paredzēto ierīci no jebkura, kam ir kopija, jo ekskluzīva piederība bija tā īpašība, kas tika pierādīta. Autorizācijas turpināšana un aizstāšana ir VPN īpašnieka lēmumi, nevis tā, kurš atrada failu.

tls-auth noslēpums ir trešā lieta. Tas pievieno HMAC autentifikāciju ap vadības kanāla paketēm, lai nepareizi autentificētas paketes tiktu izmestas pirms TLS apmaiņas, un tas nav ne partnera privātā atslēga, ne atslēga, kas šifrē lietojumprogrammas datus.

Ja šis kopīgais noslēpums ir publisks, tā sniegtā barjera ir zudusi visiem, kam tas ir. No tā neizriet, ka katrs turētājs iztur aiz tās esošās sertifikāta un lietotāja pārbaudes, tāpēc klasifikācija ir svarīgāka par trauksmes līmeni. Pasakiet, kura barjera krita, un pasakiet, kuras paliek.

Labojiet lomu, kas noplūda, nevis blakus esošo

Kopīgu noslēpumu nevar atkal padarīt privātu, pārdēvējot failu vai paslēpjot lejupielādes saiti. Aizstāšana nozīmē jaunas vērtības ģenerēšanu un tās izplatīšanu katram partnerim koordinētā izmaiņā, un tikai vienas puses aizstāšana sabojā vienošanos visiem, kam vēl ir vecā vērtība.

Ja partnera identitāte tika atklāta, izmantojiet operatora atsaukšanas un atkārtotas reģistrācijas procesu šai identitātei. Nesaistīta konta paroles maiņa nepadara nokopētu sertifikātu nederīgu, un arī tls-auth faila nomaiņa to nedara.

Pirms paļaujaties uz kaut ko no tā, pārliecinieties, ko izvietotais serveris patiešām piemēro. Atsaukšanas saraksts, kas netiek atjaunināts, vai lomas pārbaude, kas tika atslēgta pārtraukuma laikā, pilnībā maina atbildi. Lasiet darbojošos konfigurāciju, nevis krātuves kopiju.

Vērtējiet iepriekšējo satiksmi pēc tās pašas noteikumiem

Atklāts fails pats par sevi nepasaka, vai iepriekš ierakstītas sesijas var atšifrēt. Tas ir atkarīgs no atslēgas izveides metodes, atklātā materiāla un tā, kādi ieraksti pastāv, un gan „viss trafiks ir zaudēts“, gan „nekas nav noticis“ ir minējumi bez šiem faktiem.

Nepublicējiet vēl vienu akreditācijas datu kopiju, kamēr jautājat, kurai kategorijai tie pieder. Tā vietā kopīgojiet direktīvu nosaukumus un ne-slepenus metadatus pa apstiprināto atbalsta ceļu.

Noderīgais secinājums nosauc objektu, tā lomu, zaudēto aizsardzību un nepieciešamo koordinēto darbību. Viss īsākais ir virsraksts, nevis novērtējums.