Ko pārbauda openssl dhparam -check un ko tas palaiž garām

Veiksmīga dhparam -check izpilde šķiet kā spriedums par jūsu VPN Diffie-Hellman iestatījumu. Tas tā nav. Komanda salīdzina vienu parametru failu ar aritmētiku, kurai tas it kā atbilst, un neko nepasaka par to, vai grupas lielums atbilst jūsu politikai vai vai tunelis vispār ielādē šo failu. Lasīt to kā drošības auditu ir pieņēmums, ko vispirms ir vērts labot.

Parametru fails satur pirmskaitli un ģeneratoru. Derīgums ir šo skaitļu īpašība, savukārt stiprums ir spriedums par jūsu draudu modeli un partneriem, un abi nav savstarpēji aizstājami.

Ko derīguma pārbaude patiešām apstiprina

Palaidiet pārbaudi esošajam failam un izlasiet atbildi. openssl dhparam -in dh.pem -check -noout veic parametru pārbaudes un nomāc kodēto izvadi. Ziņojums, ka parametri izskatās kārtībā, nozīmē, ka vērtības ir strukturāli saskanīgas; tas nenozīmē, ka īsa grupa jūsu vidē ir pieņemama.

Ģenerēšana bez -dsaparam dod drošus pirmskaitļus, kuros arī (p-1)/2 ir pirmskaitlis, tāpēc tas aizņem tik ilgu laiku. DSA stila ceļš parametrus izveido ātrāk un pārvērš tos DH formā, un OpenSSL rokasgrāmata to lietošanai pievieno papildu prasības svaigiem atslēgām. Neviena no abām konstrukcijām nav sesijas noslēpums: fails ir publisks konfigurācijas materiāls, nevis sertifikāta privātā atslēga un nevis vadības kanāla koplietotais noslēpums.

Izlasiet lielumu un ģeneratoru pirms faila vērtēšanas

Derīguma rezultāts nozīmē vairāk, ja zināt, kas tika pārbaudīts. Izdrukājiet parametrus ar openssl dhparam -in dh.pem -text -noout, pēc tam pierakstiet pirmskaitļa garumu un ģeneratora vērtību.

Salīdziniet šo garumu ar rakstisku politiku, nevis ar ieradumu. Ja jūsu prasība ir modernas TLS kopnes apstiprināta nosaukta grupa, ar roku ģenerēts fails var būt pilnīgi nepareizs artefakts. Pierakstiet abus skaitļus izmaiņu žurnālā, lai nākamajam pārskatītājam tie nav jāatvasina no jauna.

Nepārvērtiet pārbaudi atkārtotā ģenerēšanā

Kļūmes režīms šeit ir komanda, kas izskatās kā pārbaude un uzvedas kā ģenerators. Bitu garuma pievienošana, kā openssl dhparam -check 2048, pieprasa jaunus parametrus, un ievades fails tiek ignorēts. Ģeneratora opcija var darīt to pašu. Ja gribējāt tikai apskatīt, nododiet -in un -check un neko, kas apraksta izmēru.

Izvades rakstīšana pāri sākotnējam ceļam ir pelnījusi tādas pašas aizdomas, jo rokasgrāmata brīdina, ka izvade failā nav atomiska. Avārija rakstīšanas laikā atstāj saīsinātu parametru failu un pakalpojumu, kas neieslēgsies.

Saskaņojiet grupu ar protokolu, nevis ar modi

Izmēra politika ir lēmums, ko rīks nevar nolasīt jūsu vietā. 2048 bitu galīgā lauka grupa ir ierasta apakšējā robeža, un lielākas grupas maksā rokas paspiešanas laiku, tāpēc izvēlieties skaitli, ko nosauc jūsu pašu bāzes līnija, un pierakstiet to. Plaši lietotas grupas nav vājas tāpēc, ka ir publiskas; nezināmība šeit neko nepievieno.

Kur kopne atbalsta apstiprinātas nosauktas grupas, sekojiet šim dokumentētajam izkārtojumam, nevis ģenerējiet neparastus parametrus, lai tie izskatītos unikāli. Nosaukta grupa ir kaut kas tāds, ko partneris var atpazīt un pārskatītājs var sameklēt, un tas ir vairāk vērts nekā pēc pasūtījuma veidots fails, ko neviens nevar klasificēt.

Pārliecinieties, ka VPN vispār ielādē failu

Pareizs parametru fails, ko nelasa neviens process, neko nemaina. OpenVPN servera direktīva ir dh ar ceļu, un izvietojumi, kas paļaujas uz ECDH vai TLS 1.3 atslēgu apmaiņu, tā vietā var iestatīt dh none. Pārbaudiet darbojošos konfigurāciju, nevis veidni, pēc tam apstipriniet, ka klienti un partneri vienojas par to pašu konstrukciju.

Noslēdziet ciklu ar pierādījumiem, kas jums patiešām nepieciešami: grupa, par ko vienojās tunelis, parametru garums failā un politikas rinda, ko šis garums apmierina. Veiksmīga pārbaude ir viens punkts šajā sarakstā. Uzskatīt to par visu atbildi ir veids, kā īsa grupa pārdzīvo auditu, kam tā bija jānoķer.