ആ പ്രസിദ്ധീകരിച്ച OpenVPN കീ ഒരു CA ആണോ, പിയർ കീ ആണോ അതോ tls-auth ആണോ?

ആരോ റിപ്പോർട്ട് ചെയ്യുന്നു VPN കീ പൊതുവായതാണെന്ന്, ആ വാക്യം പൂർണ്ണമായും വ്യത്യസ്തമായ മൂന്ന് സാഹചര്യങ്ങൾ മറച്ചുവയ്ക്കുന്നു. അത് ഓരോ ക്ലയന്റും ഉണ്ടായിരിക്കേണ്ട CA സർട്ടിഫിക്കറ്റ് ആകാം, ഒരു മെഷീനിൽ നിന്നും ഒരിക്കലും പുറത്തുപോകരുതാത്ത സ്വകാര്യ ഐഡന്റിറ്റി കീ ആകാം, അല്ലെങ്കിൽ ഇരു അറ്റങ്ങളും സൂക്ഷിക്കേണ്ട പങ്കിട്ട നിയന്ത്രണ-ചാനൽ രഹസ്യം ആകാം. നന്നാക്കൽ, അടിയന്തരത, നാശത്തിന്റെ വ്യാപ്തി എന്നിവ ഓരോ കേസിലും വ്യത്യസ്തമാണ്, അതിനാൽ ആദ്യ ജോലി വർഗ്ഗീകരണമാണ്, നടപടിയല്ല. വിഭാഗം തെറ്റായാൽ അടുത്ത ഓരോ ഘട്ടവും പാഴായ അധ്വാനമാണ്.

ഫയൽ പേരിൽ നിന്നല്ല, നിർദ്ദേശത്തിൽ നിന്ന് തുടങ്ങുക

സജീവ കോൺഫിഗറേഷൻ വായിച്ച്, ഏത് നിർദ്ദേശമാണ് ബന്ധപ്പെട്ട വസ്തുവിലേക്ക് ചൂണ്ടുന്നതെന്ന് കണ്ടെത്തുക. OpenVPN-ന്റെ TLS ഓപ്ഷനുകൾ വിശ്വസ്ത സർട്ടിഫിക്കറ്റ് വസ്തുവിന് ca, പ്രാദേശിക പിയറിന്റെ സർട്ടിഫിക്കറ്റിന് cert, അതിനോട് ബന്ധപ്പെട്ട സ്വകാര്യ കീക്ക് key ഉപയോഗിക്കുന്നു.

ഫയൽ പേരുകൾ ഒന്നും തെളിയിക്കുന്നില്ല. key.pem എന്ന പേരിലുള്ള ഫയലിൽ ഒരു സർട്ടിഫിക്കറ്റ് ഉണ്ടാകാം, പ്രൊഫൈലിലെ ഉൾച്ചേർത്ത ബ്ലോക്കിൽ ഡിസ്കിലെ വേറിട്ട ഫയലിനുള്ള അതേ വസ്തു ഉണ്ടാകാം. പേരിൽ വിശ്വസിക്കുന്നതിനു പകരം ഫയൽ തുറന്ന് അതിന്റെ ഹെഡർ നോക്കുക. ആ ഒരു പരിശോധന റിപ്പോർട്ടിലെ മിക്ക അവ്യക്തതയും ഒഴിവാക്കുന്നു.

പ്രൊഫൈൽ PKCS#12 ബണ്ടിൽ ആണെങ്കിൽ, അതിൽ യഥാർത്ഥത്തിൽ എന്താണെന്ന് കാണാൻ നിയന്ത്രിത സ്ഥലത്ത് അത് തുറക്കുക. ഒരു ബണ്ടിലിൽ സർട്ടിഫിക്കറ്റ്, അതിന്റെ ചെയിൻ, സ്വകാര്യ കീ എന്നിവ ഉണ്ടാകാം, അതായത് ബണ്ടിലിന്റെ ചോർച്ച മൂന്നിന്റെയും ചോർച്ചയാണ്.

ആരും ഫയൽ മാറ്റുന്നതിന് മുമ്പ് വർഗ്ഗീകരണം എഴുതിവയ്ക്കുക: വസ്തു, നിർദ്ദേശം, ഏത് പിയറുകൾ അത് സൂക്ഷിക്കുന്നു, ആർക്ക് അത് വായിക്കാം. ബാക്കി മുഴുവൻ ഉത്തരവും ആ വാക്യത്തെ ആശ്രയിച്ചിരിക്കുന്നു.

CA സർട്ടിഫിക്കറ്റ് പങ്കിടാൻ വേണ്ടി രൂപകൽപ്പന ചെയ്തതാണ്

പൊതു CA സർട്ടിഫിക്കറ്റ് വിശ്വാസത്തിന്റെ വസ്തുവാണ്. സർവർ പരിശോധിക്കാൻ ക്ലയന്റുകൾക്ക് അത് ആവശ്യമാണ്, അത് വിതരണം ചെയ്യുന്നത് സാധാരണ സ്ഥിതിയാണ്, സംഭവമല്ല. അത് പ്രസിദ്ധീകരിക്കുന്നത് CA-യുടെ സ്വകാര്യ ഒപ്പ് കീ പ്രസിദ്ധീകരിക്കുന്നില്ല, ആക്രമണകാരിക്ക് പുതിയ ഐഡന്റിറ്റികൾ സൃഷ്ടിക്കാൻ വഴിയൊരുക്കുന്ന വസ്തു അതുതന്നെയാണ്.

ഈ വ്യത്യാസം ടിക്കറ്റിൽ വ്യക്തമായി എഴുതേണ്ടതാണ്, കാരണം രണ്ടും നിരന്തരം കൂട്ടിക്കലർത്തപ്പെടുന്നു. ഉത്തരം നൽകേണ്ട ചോദ്യം, ചോർന്ന ഫയൽ സർട്ടിഫിക്കറ്റാണോ ഒപ്പ് കീയാണോ എന്നതാണ്, ഫയലിന്റെ ഉള്ളടക്കത്തിലേക്കുള്ള ഒരു നോട്ടം അത് തീരുമാനിക്കുന്നു. സർട്ടിഫിക്കറ്റിൽ പൊതു കീയും ഒപ്പും ഉണ്ട്; ഒപ്പ് കീ അതിൽ ഒട്ടും കാണുന്നില്ല.

വിതരണത്തിന് ഇപ്പോഴും ശ്രദ്ധ വേണം. അംഗീകൃത പ്രൊഫൈൽ വിതരണ പാതയിലൂടെ സർട്ടിഫിക്കറ്റ് ലഭിക്കണം, ഒട്ടിക്കൽ സൈറ്റിൽ നിന്നല്ല, വിശ്വസനീയമല്ലാത്ത പാതയിലൂടെ എത്തുന്ന സർട്ടിഫിക്കറ്റ് വഴിയിൽ മാറ്റിവയ്ക്കാം.

പിയർ കീയും tls-auth രഹസ്യവും ഒന്നല്ല

പിയറിന്റെ സ്വകാര്യ കീ ഐഡന്റിറ്റി വസ്തുവാണ്. അത് പകർത്തിക്കഴിഞ്ഞാൽ, ഉദ്ദേശിച്ച ഉപകരണത്തെ പകർപ്പ് കൈവശമുള്ള ആരിൽ നിന്നും സർവറിന് വേർതിരിച്ചറിയാനാകില്ല, കാരണം പ്രദർശിപ്പിക്കപ്പെട്ടിരുന്ന സ്വത്ത് പ്രത്യേക കൈവശാവകാശമായിരുന്നു. അനുമതി തുടരുന്നതും പകരം വയ്ക്കുന്നതും VPN ഉടമയുടെ തീരുമാനങ്ങളാണ്, ഫയൽ കണ്ടെത്തിയവരുടേതല്ല.

tls-auth രഹസ്യം മൂന്നാമത്തേതാണ്. നിയന്ത്രണ-ചാനൽ പാക്കറ്റുകൾക്ക് ചുറ്റും HMAC പ്രാമാണീകരണം ചേർക്കുന്നു, അതുവഴി തെറ്റായി പ്രാമാണീകരിച്ച പാക്കറ്റുകൾ TLS കൈമാറ്റത്തിന് മുമ്പ് ഒഴിവാക്കപ്പെടുന്നു, അത് പിയറിന്റെ സ്വകാര്യ കീയല്ല, ആപ്ലിക്കേഷൻ ഡാറ്റ എൻക്രിപ്റ്റ് ചെയ്യുന്ന കീയുമല്ല.

ആ പങ്കിട്ട രഹസ്യം പൊതുവാണെങ്കിൽ, അത് നൽകിയ തടസ്സം അതുള്ള എല്ലാവർക്കും പോയി. എന്നാൽ ഓരോ ഉടമയും അതിന് പിന്നിലെ സർട്ടിഫിക്കറ്റ്, ഉപയോക്തൃ പരിശോധനകൾ കടക്കുന്നു എന്ന് അതിൽ നിന്ന് അനുസരിക്കുന്നില്ല, അതുകൊണ്ടാണ് വർഗ്ഗീകരണം അലാറം നിലയേക്കാൾ പ്രധാനമാകുന്നത്. ഏത് തടസ്സം വീണു, ഏതെല്ലാം ബാക്കിയുണ്ട് എന്ന് പറയുക.

ചോർന്ന റോൾ നന്നാക്കുക, അയൽവാസിയുടെതല്ല

ഫയൽ പേരുമാറ്റിയോ ഡൗൺലോഡ് ലിങ്ക് മറച്ചോ പങ്കിട്ട രഹസ്യത്തെ വീണ്ടും സ്വകാര്യമാക്കാനാകില്ല. പകരം വയ്ക്കുക എന്നത് പുതിയ മൂല്യം സൃഷ്ടിച്ച് ഏകോപിത മാറ്റത്തിൽ ഓരോ പിയറിനും വിതരണം ചെയ്യുക എന്നാണ്, ഒരു വശം മാത്രം മാറ്റുന്നത് പഴയ മൂല്യം ഇപ്പോഴും ഉള്ള എല്ലാവർക്കും ക്രമീകരണം തകർക്കുന്നു.

പിയർ ഐഡന്റിറ്റി വെളിപ്പെട്ടാൽ, ആ ഐഡന്റിറ്റിക്ക് ഓപ്പറേറ്ററുടെ റദ്ദാക്കലും പുനർരജിസ്ട്രേഷനും പ്രക്രിയ ഉപയോഗിക്കുക. ബന്ധമില്ലാത്ത അക്കൗണ്ടിന്റെ പാസ്വേഡ് മാറ്റുന്നത് പകർത്തിയ സർട്ടിഫിക്കറ്റ് അസാധുവാക്കുന്നില്ല, tls-auth ഫയൽ മാറ്റുന്നതും അല്ല.

ഇവയിൽ ഏതെങ്കിലും ആശ്രയിക്കുന്നതിന് മുമ്പ് വിന്യസിച്ച സർവർ യഥാർത്ഥത്തിൽ എന്ത് നിർബന്ധിക്കുന്നു എന്ന് ഉറപ്പാക്കുക. പുതുക്കാത്ത റദ്ദാക്കൽ പട്ടികയോ, തടസ്സത്തിനിടെ പ്രവർത്തനരഹിതമാക്കിയ റോൾ പരിശോധനയോ ഉത്തരം പൂർണ്ണമായി മാറ്റുന്നു. റിപ്പോസിറ്ററിയിലെ പകർപ്പല്ല, പ്രവർത്തിക്കുന്ന കോൺഫിഗറേഷൻ വായിക്കുക.

കഴിഞ്ഞ ട്രാഫിക്കിനെ അതിന്റെ സ്വന്തം നിബന്ധനകളിൽ വിലയിരുത്തുക

വെളിപ്പെട്ട ഫയൽ മാത്രം മുമ്പ് പിടിച്ചെടുത്ത സെഷനുകൾ ഡീക്രിപ്റ്റ് ചെയ്യാനാകുമോ എന്ന് പറയുന്നില്ല. അത് കീ സ്ഥാപിക്കുന്ന രീതി, വെളിപ്പെട്ട വസ്തു, ഏത് രേഖകൾ നിലവിലുണ്ട് എന്നിവയെ ആശ്രയിച്ചിരിക്കുന്നു, ‘എല്ലാ ട്രാഫിക്കും നഷ്ടപ്പെട്ടു’, ‘ഒന്നും സംഭവിച്ചില്ല’ എന്നിവ രണ്ടും ആ വസ്തുതകളില്ലാതെ ഊഹങ്ങളാണ്.

ക്രെഡൻഷ്യൽ ഏത് വിഭാഗത്തിലാണെന്ന് ചോദിക്കുമ്പോൾ അതിന്റെ മറ്റൊരു പകർപ്പ് പോസ്റ്റ് ചെയ്യരുത്. പകരം അംഗീകൃത സഹായ പാതയിലൂടെ നിർദ്ദേശങ്ങളുടെ പേരുകളും രഹസ്യമല്ലാത്ത മെറ്റാഡാറ്റയും പങ്കിടുക.

ഉപയോഗപ്രദമായ നിഗമനം വസ്തുവിനെയും അതിന്റെ റോളിനെയും നഷ്ടപ്പെട്ട സംരക്ഷണത്തെയും ആവശ്യമായ ഏകോപിത നടപടിയെയും പേരിടുന്നു. ഇതിനേക്കാൾ ചെറുത് തലക്കെട്ടാണ്, വിലയിരുത്തലല്ല.