Дали тој објавен OpenVPN клуч е CA, клуч на партнер или tls-auth?

Некој известува дека VPN клучот е јавен, а таа реченица крие три сосема различни ситуации. Тоа може да биде CA сертификат што треба да го има секој клиент, приватен идентитетски клуч што никогаш не требало да излезе од една машина, или заедничка тајна на контролниот канал што мора да ја чуваат двете страни. Поправката, итноста и обемот на штетата се разликуваат во секој случај, затоа првата задача е класификација, а не дејство. Ако ја погрешите категоријата, секој следен чекор е залуден труд.

Започнете од директивата, не од името на датотеката

Прочитајте ја активната конфигурација и најдете која директива покажува на предметниот материјал. TLS опциите на OpenVPN користат ca за доверлив сертификатен материјал, cert за сертификатот на локалниот партнер и key за приватниот клуч што му припаѓа.

Имињата на датотеките не докажуваат ништо. Датотека со име key.pem може да содржи сертификат, а вграден блок во профилот може да го содржи истиот објект како одделна датотека на дискот. Отворете ја датотеката и погледнете го нејзиното заглавие наместо да му верувате на името. Таа една проверка го отстранува најголемиот дел од нејаснотијата во извештајот.

Ако профилот е PKCS#12 пакет, отпакувајте го на контролирано место за да видите што навистина содржи. Еден пакет може да носи сертификат, неговиот ланец и приватен клуч, што значи дека истекувањето на пакетот е истекување на сите три.

Запишете ја класификацијата пред некој да промени датотека: објект, директива, кои партнери го чуваат и кој може да го чита. Од таа реченица зависи остатокот од одговорот.

CA сертификатот е наменет за споделување

Јавниот CA сертификат е материјал на доверба. На клиентите им е потребен за да го проверат серверот, а неговата дистрибуција е нормален случај, а не инцидент. Неговото објавување не го објавува приватниот потписен клуч на CA, а токму тој објект би му овозможил на напаѓач да создава нови идентитети.

Вреди оваа разлика експлицитно да се запише во тикетот, бидејќи двете постојано се мешаат. Прашањето на кое треба да се одговори е дали изтеклата датотека е сертификатот или потписниот клуч, и брз поглед во содржината на датотеката го решава тоа. Сертификатот содржи јавен клуч и потпис; потписниот клуч воопшто не се појавува во него.

Дистрибуцијата сепак заслужува внимание. Клиентите треба да го добијат сертификатот преку одобрениот пат за испорака на профили, а не од страница за лепење, а сертификат што пристигнува по недоверлив пат може да биде заменет на патот.

Клучот на партнерот и тајната tls-auth не се

Приватниот клуч на партнерот е материјал за идентитет. Откако ќе се копира, серверот повеќе не може да ја разликува предвидената направа од секој што ја има копијата, бидејќи исклучителното поседување беше својството што се докажуваше. Продолжувањето на авторизацијата и замената се одлуки на сопственикот на VPN, а не на тој што ја нашол датотеката.

Тајната tls-auth е трето нешто. Таа додава HMAC автентикација околу пакетите на контролниот канал, така што неправилно автентицираните пакети се отфрлаат пред TLS размена, и таа не е ниту приватниот клуч на партнерот, ниту клучот што ги шифрира податоците на апликацијата.

Ако таа заедничка тајна е јавна, бариерата што ја даваше е изгубена за сите што ја имаат. Од тоа не следи дека секој имател ги поминува проверките за сертификат и корисник зад неа, затоа класификацијата е поважна од нивото на тревога. Кажете која бариера падна и кажете кои останаа.

Поправете ја улогата што истече, а не соседната

Заедничката тајна не може повторно да се направи приватна со преименување на датотеката или криење на врската за преземање. Замената значи генерирање нова вредност и нејзина дистрибуција до секој партнер во координирана промена, а замената само на едната страна ја расипува спогодбата за сите што ја имаат старата вредност.

Ако идентитетот на партнерот бил изложен, користете го процесот на отповикување и повторно регистрирање на операторот за тој идентитет. Менувањето лозинка на неповрзана сметка не го поништува копираниот сертификат, а ниту замената на датотеката tls-auth.

Потврдете што навистина наложува распоредениот сервер пред да се потпрете на било што од ова. Списокот за отповикување што не се освежува, или проверката на улога што била исклучена за време на прекин, целосно го менуваат одговорот. Читајте ја конфигурацијата што работи, а не копијата во складиштето.

Судете за минатиот сообраќај според неговите сопствени услови

Изложената датотека сама по себе не кажува дали претходно фатените сесии можат да се дешифрираат. Тоа зависи од методот на воспоставување клуч, изложениот материјал и тоа кои записи постојат, а и „целиот сообраќај е изгубен“ и „ништо не се случило“ се претпоставки без тие факти.

Не објавувајте уште една копија од акредитивите додека прашувате на која категорија припаѓаат. Наместо тоа, споделете ги имињата на директивите и не-тајните метаподатоци преку одобрениот пат за поддршка.

Корисниот заклучок го именува објектот, неговата улога, изгубената заштита и потребното координирано дејство. Сето што е пократко е наслов, а не проценка.